bringnow/nginx-letsencrypt

bringnow/nginx-letsencrypt镜像说明

镜像概述

本镜像基于https://hub.docker.com/_/nginx/%E6%9E%84%E5%BB%BA%EF%BC%8C%E5%86%85%E7%BD%AEACME webroot认证配置片段（支持Let’s Encrypt证书管理），以及可获得Qualys SSL Server Test A+评级的SSL/TLS配置，同时支持配置或证书变更时的零 downtime 自动重载。适用于需要HTTPS加密和自动证书管理的Web服务场景。

核心功能

1. 集成Let’s Encrypt ACME webroot认证支持，简化证书申请与续期流程
2. 预配置SSL/TLS参数，可轻松获得Qualys SSL Server Test A+评级
3. 支持配置或证书变更时的零 downtime 自动重载，保障服务连续性
4. 提供多标签版本（latest、alpine、stable等），适配不同环境需求

使用场景

• 需要启用HTTPS加密的Web应用服务
• 希望自动管理Let’s Encrypt证书的站点
• 追求高安全等级SSL/TLS配置的服务场景

配置说明

支持的标签

• latest：基于主线nginx与jessie系统（https://github.com/bringnow/docker-nginx-letsencrypt/blob/master/mainline/jessie/Dockerfile%EF%BC%89
• alpine：基于主线nginx与alpine系统（https://github.com/bringnow/docker-nginx-letsencrypt/blob/master/mainline/alpine/Dockerfile%EF%BC%89
• stable：基于稳定版nginx与jessie系统（https://github.com/bringnow/docker-nginx-letsencrypt/blob/master/stable/jessie/Dockerfile%EF%BC%89
• stable-alpine：基于稳定版nginx与alpine系统（https://github.com/bringnow/docker-nginx-letsencrypt/blob/master/stable/alpine/Dockerfile%EF%BC%89

Docker Compose部署示例

yaml
nginx:
  image: bringnow/nginx-letsencrypt
  volumes:
    - ./nginx.conf:/etc/nginx/nginx.conf
    - /etc/letsencrypt:/etc/letsencrypt
    - /var/acme-webroot:/var/acme-webroot
    - /srv/docker/nginx/dhparam:/etc/nginx/dhparam
  ports:
    - "80:80"
    - "443:443"
  network_mode: "host"
  dns_search:
    - "example.com"

Nginx配置示例

在nginx.conf中引入内置配置片段：

nginx
events {
  worker_connections 1024;
}

http {
  include snippets/letsencryptauth.conf;  # ACME验证配置
  include snippets/sslconfig.conf;        # SSL/TLS配置

  server {
    listen 443 ssl default_server;
    server_name example.com www.example.com;

    ssl_certificate /etc/letsencrypt/live/www.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/www.example.com/privkey.pem;

    # 启用HSTS以获得A+评级
    add_header Strict-Transport-Security "max-age=31536000; includeSubdomains" always;

    location / {
      return 200;
    }
  }
}

关键注意事项

1. HSTS设置：需在每个server块中显式添加Strict-Transport-Security header，才能获得Qualys SSL Server Test A+评级。
2. 卷挂载：
   • /etc/letsencrypt：挂载Let’s Encrypt客户端配置目录
   • /var/acme-webroot：挂载ACME webroot验证目录
   • /etc/nginx/dhparam：挂载DH参数目录（容器启动时会自动生成4096位DH参数，建议持久化保存以避免重复生成）
3. DH参数生成：首次启动时生成4096位DH参数耗时较长，需耐心等待容器完成初始化。