Bari Wiki

Uživatelské nástroje

Nástroje pro tento web

Historie: • susicka • pracka • apt • cpu_ryzen5000 • konfigurace_kernelu • openwrt • ipsec • ldap • panvicky • auto
homerouteriv

Rozdíly

Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.

Odkaz na výstup diff

Obě strany předchozí revizePředchozí verze
Následující verze		Předchozí verze
homerouteriv [2024/09/24 21:23] – [HTTPS proxy] djbuldoghomerouteriv [2025/08/28 10:09] (aktuální) – upraveno mimo DokuWiki 127.0.0.1
Řádek 10: Řádek 10:
     * web server, tvheadend ... mam uz na PI     * web server, tvheadend ... mam uz na PI
     * možná by se hodil tcpdump, iftop, aircrack     * možná by se hodil tcpdump, iftop, aircrack
-  * [[#https_proxy|HTTPS proxy]] na moje web servery s automatickou obnovou certifikátu přes let's encrypt pro veřejnou IP adresu dostupnou přes [[#wireguard|Wireguard]]+  * [[#https_proxy|HTTPS proxy]] na moje web servery s automatickou obnovou certifikátu přes [[#acme|let's encrypt]] pro veřejnou IP adresu dostupnou přes [[#wireguard|Wireguard]]
  
 ===== Základ ===== ===== Základ =====
Řádek 112: Řádek 112:
   * musel jsem vytvořit vlastní firewall zónu. Když jsem použil WAN tak to nějak zahazovalo odesílané pakety a nenastal vůbec handshake   * musel jsem vytvořit vlastní firewall zónu. Když jsem použil WAN tak to nějak zahazovalo odesílané pakety a nenastal vůbec handshake
   * pro aplikaci změn konfigurace lze použít ''/etc/init.d/network restart''   * pro aplikaci změn konfigurace lze použít ''/etc/init.d/network restart''
-  * logy lze zobrazit přes ''logread'' 
   * v konfiguraci wireguard lze zapnout debug   * v konfiguraci wireguard lze zapnout debug
   * povolil jsem routování přes ''route_allowed_ips'', ale ve firewall zóně jsem to nepovolil pro LAN   * povolil jsem routování přes ''route_allowed_ips'', ale ve firewall zóně jsem to nepovolil pro LAN
Řádek 134: Řádek 133:
 </code> </code>
  
-===== HTTPS proxy =====+===== ACME =====
  
-  * udalal jsem: +  * pro testování je vhodně použít staging 
-    * rozjel jsem acme a ngix fw pro min, reality, wiky a default +  * používám ověření webroot s cestou /www/acme 
-    * chyby acme / ngins jsou v logrotate.. hodne uzitecne +  * konfiguroval jsem přes uci
-    * vypnul jsem notifikaci nginx pri zmene cert.. protoze jsem mel velky problem pri prechodu ze staging.. je mozne zapnout pozdeji.. ale nesmim mit nic staging :D on to totiz presune a restart nginx pak nenajde cert a nenabehne :D+
  
-  * TODO +<code> 
-    * kdyz si udelam vlastni domenu.. neco jako domov.bari2.eu.. tak to muzu pres proxy a certifikat posilat na 8123 ..  +config cert 'wiki' 
-      * nebo muzu nechat aj ten port.. ale klicove je, at to ma platny cert :D +        option use_staging '0' 
-    * cfg se dost opakuje.. slo by asi pres includy? nebo nejake shared sekce +        option keylength '2048' 
-    * chybi mi domeny lktb, teplo, tv...  +        option update_nginx '0' 
-    * je na zvazeni, zda potrebuji ssl u min, reality.. doma... mozna by stacilo to jen z venku :) obdobne HA.. mohl by byt bez z domaci site..  +        option update_haproxy '0' 
-    * kdybych mel hvezdickovy certifikat, tak muzu mit jen jeden config pro nekolik domen +        option enabled '1' 
-    * hvezdicckovy se musi overtovat pres dns chanalange.. ale wedos api a skript pro acme by to meli dat +        list domains 'wiki.bari2.eu' 
-    * zpřístupnit z2m aj z venku? přidat tam auth?+        option update_uhttpd '0' 
 +        option validation_method 'webroot' 
 +        option webroot '/www/acme' 
 +</code> 
 + 
 +  * vypnul jsem notifikaci nginx při změně cert..  
 +    * měl jsem problém při přechodu ze staging, kdy po zpracování prvního certifikátu poslal notifikaci a nginx už nenastartoval, protože acme na začátku přesunul všechny nastavené staging certifikáty a nginx to už nenašel 
 +    * později lze klidně zapnout 
 + 
 +  * logy lze číst v ''logrotate'', užitečné při ladění 
 + 
 +===== HTTPS proxy =====
  
 <code> <code>
Řádek 165: Řádek 174:
   * využít luca template jako základní konfigurák   * využít luca template jako základní konfigurák
  
 +<code>
 cp /etc/nginx/uci.conf.template /etc/nginx/nginx.conf cp /etc/nginx/uci.conf.template /etc/nginx/nginx.conf
 +</code>
  
    * změnil jsem v něm akorát root na /www/acme, ve kterém jsem vytvořil prázdný index.html    * změnil jsem v něm akorát root na /www/acme, ve kterém jsem vytvořil prázdný index.html
Řádek 172: Řádek 183:
 <code> <code>
 server { server {
-    listen 5443 ssl;+ 
 +    listen 6666 ssl;
     server_name wiki.bari2.eu;     server_name wiki.bari2.eu;
  
Řádek 178: Řádek 190:
     ssl_certificate_key /etc/acme/wiki.bari2.eu/wiki.bari2.eu.key;     ssl_certificate_key /etc/acme/wiki.bari2.eu/wiki.bari2.eu.key;
  
-    location /.well-known/acme-challenge/ { +    include conf.d/location-acme.inc; 
-        default_type "text/plain"; +    include conf.d/location-pi-fwd.inc;
-        root /www/acme/; +
-    }+
  
-    location / { 
-        proxy_pass https://192.168.0.8; 
-        proxy_set_header Host $host; 
-        proxy_set_header X-Real-IP $remote_addr; 
-        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
-        proxy_set_header X-Forwarded-Proto $scheme; 
-    } 
 } }
  
 server { server {
-    listen 5080;+ 
 +    listen 7777;
     server_name wiki.bari2.eu;     server_name wiki.bari2.eu;
  
-    location /.well-known/acme-challenge/ {+    include conf.d/location-acme.inc; 
 +    include conf.d/location-https-fwd.inc; 
 + 
 +} 
 +</code> 
 + 
 +  * location-acme.inc - slouží ke zpřístupněni adresáře, kam acme dává dočasné soubory pro ověření vlastnictví domény. Pro každou doménu mám stejnou složku, protože se to ověřuje vždy sekvenčně a navzájem se neovlivňuje. 
 + 
 +<code> 
 +location /.well-known/acme-challenge/ {
         default_type "text/plain";         default_type "text/plain";
         root /www/acme/;         root /www/acme/;
-    }+} 
 +</code>  
  
-    location / { +  * location-https-fwd.inc - slouží k přesměrování http požadavku na https. Má cenu jen pro domény, kterým spravuji certifikáty. 
-        return 301 https://$host$request_uri; + 
-    }+<code> 
 +location / { 
 +  return 301 https://$host$request_uri; 
 +} 
 +</code>   
 + 
 +  * location-pi-fwd.inc - přesměrování na pi s weby, na https port. 
 + 
 +<code> 
 +location / { 
 + proxy_pass https://192.168.0.5; 
 + proxy_set_header Host $host; 
 + proxy_set_header X-Real-IP $remote_addr; 
 + proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
 + proxy_set_header X-Forwarded-Proto $scheme; 
 +} 
 +</code>   
 + 
 +  * weby, kterým nespravuji certifikát, posílám na pi web server. 
 + 
 +<code> 
 +server { 
 +    listen 7777 ssl; 
 +    server_name _; 
 + 
 +    ssl_certificate conf.d/default.crt; 
 +    ssl_certificate_key conf.d/default.key; 
 + 
 +    # mohl bych sem dat acme include, aby to umelo overit jakoukoliv domenu 
 +    # je to ale zbytecne, pokud ten ssl pak nepouzivam... tak jsem to zrusil 
 +} 
 + 
 +# pokud zadny server name nema exact mach (nebo regular/wildcard) 
 +# vezme prvni unmatched server_name na tom portu 
 +# takze zalezi na poradi .. ten default musi byt prvni 
 +# hodnota "_" je jen nikdy nematchnuta hodnota, co nejkratsi :) 
 + 
 +server { 
 +    listen 8080; 
 +    server_name _; 
 + 
 +    # vse co neznam poslu na pi 
 +    include conf.d/location-pi-http-fwd.inc;
 } }
 </code> </code>
Řádek 211: Řádek 267:
   * na druhé straně wireguard tunelu se požadavky na 80/443 směřují na nové porty.    * na druhé straně wireguard tunelu se požadavky na 80/443 směřují na nové porty. 
     * šlo to vyřešit i tak, že by změnu portu dělal firewall na gw     * šlo to vyřešit i tak, že by změnu portu dělal firewall na gw
 +
 +
homerouteriv.1727205803.txt.gz · Poslední úprava: (upraveno mimo DokuWiki)
Donate Powered by PHP Valid HTML5 Valid CSS Driven by DokuWiki