Rozdíly

Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.

--- homerouteriv [2024/09/24 21:31] – [HTTPS proxy] djbuldog
+++ homerouteriv [2025/08/28 10:09] (aktuální) – upraveno mimo DokuWiki 127.0.0.1
@@ Řádek 10: / Řádek 10: @@
     * web server, tvheadend ... mam uz na PI
     * možná by se hodil tcpdump, iftop, aircrack
-  * [[#https_proxy|HTTPS proxy]] na moje web servery s automatickou obnovou certifikátu přes let's encrypt pro veřejnou IP adresu dostupnou přes [[#wireguard|Wireguard]]
+  * [[#https_proxy|HTTPS proxy]] na moje web servery s automatickou obnovou certifikátu přes [[#acme|let's encrypt]] pro veřejnou IP adresu dostupnou přes [[#wireguard|Wireguard]]
 ===== Základ =====
@@ Řádek 112: / Řádek 112: @@
   * musel jsem vytvořit vlastní firewall zónu. Když jsem použil WAN tak to nějak zahazovalo odesílané pakety a nenastal vůbec handshake
   * pro aplikaci změn konfigurace lze použít ''/etc/init.d/network restart''
-  * logy lze zobrazit přes ''logread''
   * v konfiguraci wireguard lze zapnout debug
   * povolil jsem routování přes ''route_allowed_ips'', ale ve firewall zóně jsem to nepovolil pro LAN
@@ Řádek 160: / Řádek 159: @@
 ===== HTTPS proxy =====
-  * TODO
-    * kdyz si udelam vlastni domenu.. neco jako domov.bari2.eu.. tak to muzu pres proxy a certifikat posilat na 8123 ..
-      * nebo muzu nechat aj ten port.. ale klicove je, at to ma platny cert :D
-    * cfg se dost opakuje.. slo by asi pres includy? nebo nejake shared sekce
-    * chybi mi domeny lktb, teplo, tv...
-    * je na zvazeni, zda potrebuji ssl u min, reality.. doma... mozna by stacilo to jen z venku :) obdobne HA.. mohl by byt bez z domaci site..
-    * kdybych mel hvezdickovy certifikat, tak muzu mit jen jeden config pro nekolik domen
-    * hvezdicckovy se musi overtovat pres dns chanalange.. ale wedos api a skript pro acme by to meli dat
-    * zpřístupnit z2m aj z venku? přidat tam auth?
 <code>
@@ Řádek 185: / Řádek 174: @@
   * využít luca template jako základní konfigurák
+<code>
 cp /etc/nginx/uci.conf.template /etc/nginx/nginx.conf
+</code>
    * změnil jsem v něm akorát root na /www/acme, ve kterém jsem vytvořil prázdný index.html
@@ Řádek 192: / Řádek 183: @@
 <code>
 server {
-    listen 5443 ssl;
+    listen 6666 ssl;
     server_name wiki.bari2.eu;
@@ Řádek 198: / Řádek 190: @@
     ssl_certificate_key /etc/acme/wiki.bari2.eu/wiki.bari2.eu.key;
-    location /.well-known/acme-challenge/ {
+    include conf.d/location-acme.inc;
-        default_type "text/plain";
+    include conf.d/location-pi-fwd.inc;
-        root /www/acme/;
-    }
-    location / {
-        proxy_pass https://192.168.0.8;
-        proxy_set_header Host $host;
-        proxy_set_header X-Real-IP $remote_addr;
-        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
-        proxy_set_header X-Forwarded-Proto $scheme;
-    }
 }
 server {
-    listen 5080;
+    listen 7777;
     server_name wiki.bari2.eu;
-    location /.well-known/acme-challenge/ {
+    include conf.d/location-acme.inc;
+    include conf.d/location-https-fwd.inc;
+}
+</code>
+  * location-acme.inc - slouží ke zpřístupněni adresáře, kam acme dává dočasné soubory pro ověření vlastnictví domény. Pro každou doménu mám stejnou složku, protože se to ověřuje vždy sekvenčně a navzájem se neovlivňuje.
+<code>
+location /.well-known/acme-challenge/ {
         default_type "text/plain";
         root /www/acme/;
-    }
+}
+</code>
+  * location-https-fwd.inc - slouží k přesměrování http požadavku na https. Má cenu jen pro domény, kterým spravuji certifikáty.
+<code>
+location / {
+ 	return 301 https://$host$request_uri;
+}
+</code>
+  * location-pi-fwd.inc - přesměrování na pi s weby, na https port.
+<code>
+location / {
+	proxy_pass https://192.168.0.5;
+	proxy_set_header Host $host;
+	proxy_set_header X-Real-IP $remote_addr;
+	proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+	proxy_set_header X-Forwarded-Proto $scheme;
+}
+</code>
+  * weby, kterým nespravuji certifikát, posílám na pi web server.
+<code>
+server {
+    listen 7777 ssl;
+    server_name _;
+    ssl_certificate conf.d/default.crt;
+    ssl_certificate_key conf.d/default.key;
+    # mohl bych sem dat acme include, aby to umelo overit jakoukoliv domenu
+    # je to ale zbytecne, pokud ten ssl pak nepouzivam... tak jsem to zrusil
+}
+# pokud zadny server name nema exact mach (nebo regular/wildcard)
+# vezme prvni unmatched server_name na tom portu
+# takze zalezi na poradi .. ten default musi byt prvni
+# hodnota "_" je jen nikdy nematchnuta hodnota, co nejkratsi :)
+server {
+    listen 8080;
+    server_name _;
-    location / {
+    # vse co neznam poslu na pi
-        return 301 https://$host$request_uri;
+    include conf.d/location-pi-http-fwd.inc;
-    }
 }
 </code>
@@ Řádek 231: / Řádek 267: @@
   * na druhé straně wireguard tunelu se požadavky na 80/443 směřují na nové porty.
     * šlo to vyřešit i tak, že by změnu portu dělal firewall na gw