NGINX pour inverser les websockets de proxy ET activer SSL (wss: //)?

Je suis tellement perdu et nouveau dans la construction de NGINX par moi-même, mais je veux pouvoir activer des websockets sécurisés sans avoir une couche supplémentaire.

Je ne veux pas activer SSL sur le serveur websocket lui-même, mais à la place, je veux utiliser NGINX pour ajouter une couche SSL à l'ensemble.

Chaque page Web dit que je ne peux pas le faire, mais je sais que je peux! Merci à quiconque (moi-même) peut me montrer comment!

Juste pour noter que nginx prend désormais en charge les Websockets sur la version 1.3.13. Exemple d'utilisation:

location /websocket/ {

    proxy_pass ​http://backend_host;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_read_timeout 86400;

}

Vous pouvez également consulter le journal des modifications nginx et la documentation du proxy WebSocket .

N'ayez pas peur, car un groupe courageux de programmeurs Ops a résolu la situation avec un nouveau nginx_tcp_proxy_module

Écrit en août 2012, donc si vous êtes du futur, vous devriez faire vos devoirs.

Conditions préalables

Suppose que vous utilisez CentOS:

• Supprimer l'instance actuelle de NGINX (suggérez d'utiliser le serveur de développement pour cela)
• Si possible, enregistrez vos anciens fichiers de configuration NGINX afin de pouvoir les réutiliser (y compris votre init.d/nginxscript)
• yum install pcre pcre-devel openssl openssl-devel et toutes les autres bibliothèques nécessaires pour construire NGINX
• Obtenez le nginx_tcp_proxy_module de GitHub ici https://github.com/yaoweibin/nginx_tcp_proxy_module et souvenez-vous du dossier où vous l'avez placé (assurez-vous qu'il n'est pas compressé)

Construisez votre nouveau NGINX

Encore une fois, suppose CentOS:

• cd /usr/local/
• wget 'http://nginx.org/download/nginx-1.2.1.tar.gz'
• tar -xzvf nginx-1.2.1.tar.gz
• cd nginx-1.2.1/
• patch -p1 < /path/to/nginx_tcp_proxy_module/tcp.patch
• ./configure --add-module=/path/to/nginx_tcp_proxy_module --with-http_ssl_module (vous pouvez ajouter plus de modules si vous en avez besoin)
• make
• make install

Optionnel:

• sudo /sbin/chkconfig nginx on

Configurer Nginx

N'oubliez pas de copier d'abord vos anciens fichiers de configuration si vous souhaitez les réutiliser.

Important: vous devrez créer une tcp {}directive au plus haut niveau dans votre conf. Assurez-vous que ce n'est pas dans votre http {}directive.

L'exemple de configuration ci-dessous montre un seul serveur websocket en amont et deux proxys pour SSL et non SSL.

tcp {
    upstream websockets {
        ## webbit websocket server in background
        server 127.0.0.1:5501;
        
        ## server 127.0.0.1:5502; ## add another server if you like!

        check interval=3000 rise=2 fall=5 timeout=1000;
    }   

    server {
        server_name _;
        listen 7070;

        timeout 43200000;
        websocket_connect_timeout 43200000;
        proxy_connect_timeout 43200000;

        so_keepalive on;
        tcp_nodelay on;

        websocket_pass websockets;
        websocket_buffer 1k;
    }

    server {
        server_name _;
        listen 7080;

        ssl on;
        ssl_certificate      /path/to/cert.pem;
        ssl_certificate_key  /path/to/key.key;

        timeout 43200000;
        websocket_connect_timeout 43200000;
        proxy_connect_timeout 43200000;

        so_keepalive on;
        tcp_nodelay on;

        websocket_pass websockets;
        websocket_buffer 1k;
    }
}

Cela a fonctionné pour moi:

location / {
    # redirect all HTTP traffic to localhost:8080
    proxy_pass http://localhost:8080;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

    # WebSocket support
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

- emprunté à: https://github.com/nicokaiser/nginx-websocket-proxy/blob/df67cd92f71bfcb513b343beaa89cb33ab09fb05/simple-wss.conf

pour .net core 2.0 Nginx avec SSL

location / {
    # redirect all HTTP traffic to localhost:8080
    proxy_pass http://localhost:8080;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

    # WebSocket support
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $http_connection;
}

Cela a fonctionné pour moi

Pour moi, cela dépendait du proxy_passréglage de l' emplacement. J'avais besoin de passer à l'utilisation du protocole HTTPS et d'avoir un certificat SSL valide configuré du côté du serveur de nœuds. De cette façon, lorsque j'introduis un serveur de nœud externe, je n'ai qu'à changer l'adresse IP et tout le reste reste la même configuration.

J'espère que cela aide quelqu'un en cours de route ... Je regardais le problème tout le temps ... soupir ...

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}
upstream nodeserver {
        server 127.0.0.1:8080;
}
server {
        listen 443 default_server ssl http2;
        listen [::]:443 default_server ssl http2 ipv6only=on;
        server_name mysite.com;
        ssl_certificate ssl/site.crt;
        ssl_certificate_key ssl/site.key;
        location /websocket { #replace /websocket with the path required by your application
                proxy_pass https://nodeserver;
                proxy_set_header Upgrade $http_upgrade;
                proxy_set_header Connection $connection_upgrade;
                proxy_http_version 1.1;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header Host $http_host;
                proxy_intercept_errors on;
                proxy_redirect off;
                proxy_cache_bypass $http_upgrade;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-NginX-Proxy true;
                proxy_ssl_session_reuse off;
            }
}

Un bon article concis de Pankaj Malhotra explique comment faire cela avec NGINX et est disponible ici .

La configuration de base de NGINX est reproduite ci-dessous:

map $http_upgrade $connection_upgrade {
    default upgrade;
    '' close;
}

upstream appserver {
    server 192.168.100.10:9222; # appserver_ip:ws_port
}

server {
    listen 8888; // client_wss_port

    ssl on;
    ssl_certificate /path/to/crt;
    ssl_certificate_key /path/to/key;


    location / {
        proxy_pass http://appserver;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }
}

Utilisation de nginx / 1.14.0

j'ai un serveur websocket fonctionnant sur le port 8097 et les utilisateurs se connectent de à wss sur le port 8098, nginx déchiffre simplement le contenu et le transmet au serveur websocket

Donc j'ai ce fichier de configuration (dans mon cas /etc/nginx/conf.d/default.conf)

server {
    listen   8098;
        ssl on;
        ssl_certificate      /etc/ssl/certs/combined.pem;
        ssl_certificate_key  /root/domain.key;
    location / {

        proxy_pass http://hostname:8097;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_read_timeout 86400;

    }
}