elestio/nginx-auto-ssl

nginx-auto-ssl

镜像概述

nginx-auto-ssl是一个Docker镜像，用于通过Let's Encrypt和OpenResty自动生成SSL证书，默认包含合理的SSL配置、HTTP/2和WebSocket支持。该镜像支持通过环境变量指定允许的域名和简单代理，并可轻松覆盖nginx.conf以满足自定义需求。本镜像基于https://github.com/Valian/docker-nginx-auto-ssl%E5%88%86%E5%8F%89%EF%BC%8C%E9%92%88%E5%AF%B9Elestio%E9%9C%80%E6%B1%82%E5%AE%9A%E5%88%B6%EF%BC%8C%E5%A2%9E%E5%8A%A0%E4%BA%86%E9%80%9F%E7%8E%87%E9%99%90%E5%88%B6%E5%92%8C%E8%BE%93%E5%87%BA%E7%BC%93%E5%AD%98%E5%8A%9F%E8%83%BD%E3%80%82

镜像状态：已用于生产环境。未来可能会添加向后兼容的变更。

核心功能与特性

• 自动SSL证书管理：通过Let's Encrypt自动生成、续期SSL证书，无需手动干预
• 丰富的协议支持：默认启用HTTP/2和WebSocket支持
• 灵活的代理配置：通过环境变量快速定义多域名代理规则
• 安全配置：内置合理的SSL设置，支持Diffie-Hellman密钥交换
• 环境变量驱动：无需修改配置文件即可通过环境变量调整核心参数
• 多存储支持：证书可存储在本地文件系统或Redis（适用于负载均衡环境）
• 高度可定制：支持自定义Nginx配置、代理模板及扩展配置

使用场景

• 快速为网站或应用添加HTTPS支持，无需手动管理SSL证书
• 多域名服务需要统一入口和SSL管理的场景
• 生产环境中需要自动证书续期的服务
• 需要简单配置反向代理的微服务架构
• 开发/测试环境中使用Let's Encrypt测试服务器获取证书

使用方法

快速启动

以下命令可快速为指定域名生成并自动续期SSL证书：

bash
# 替换为实际值
export DOMAIN=yourdomain.com
export APP_ADDRESS=localhost:8080

# 运行容器
docker run -d \
  --name nginx-auto-ssl \
  --restart on-failure \
  --network host \
  -e ALLOWED_DOMAINS="$DOMAIN" \
  -e SITES="$DOMAIN=$APP_ADDRESS" \
  -v ssl-data:/etc/resty-auto-ssl \
  elestio/nginx-auto-ssl

# 查看日志确认运行状态
docker logs nginx-auto-ssl

注意：确保服务器已正确配置DNS，使域名解析指向当前服务器。

Docker Compose示例

创建docker-compose.yml文件：

yaml
version: '2'
services:
  nginx:
    image: elestio/nginx-auto-ssl
    restart: on-failure
    ports:
      - 80:80
      - 443:443
    volumes:
      - ssl_data:/etc/resty-auto-ssl
    environment:
      ALLOWED_DOMAINS: 'yourdomain.com'
      SITES: 'yourdomain.com=myapp:80'
  
  # 你的应用服务，监听SITES中指定的端口
  myapp:
    image: nginx

volumes:
  ssl_data:

启动服务：

bash
docker-compose up -d

配置选项

自定义配置

通过conf.d添加配置

可通过挂载卷或自定义镜像的方式，在/etc/nginx/conf.d/目录下添加额外的Nginx配置文件（.conf后缀）。

卷挂载方式：

bash
docker run -d \
  --name nginx-auto-ssl \
  -p 80:80 -p 443:443 \
  -v $PWD/conf.d:/etc/nginx/conf.d \  # 挂载本地conf.d目录
  -v ssl-data:/etc/resty-auto-ssl \
  elestio/nginx-auto-ssl

自定义镜像方式：

Dockerfile
FROM elestio/nginx-auto-ssl
COPY ./conf.d /etc/nginx/conf.d  # 复制本地conf.d目录到镜像

示例配置文件（server.conf）：

nginx
server {
  listen 443 ssl;
  server_name api.example.com;

  include resty-server-https.conf;  # 必须包含的SSL配置

  location / {
    proxy_pass http://api-service:8080;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
  }
}

自定义SITES模板

通过覆盖/usr/local/openresty/nginx/conf/server-proxy.conf文件，自定义SITES变量生成的代理配置模板。

示例模板：

nginx
server {
  listen 443 ssl;
  server_name $SERVER_NAME;

  include resty-server-https.conf;

  location / {
    proxy_pass http://$SERVER_ENDPOINT;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";  # 添加WebSocket支持
  }
}

通过卷挂载覆盖模板：

bash
docker run -d \
  --name nginx-auto-ssl \
  -v $PWD/server-proxy.conf:/usr/local/openresty/nginx/conf/server-proxy.conf \
  -e SITES="ws.example.com=websocket-service:8080" \
  elestio/nginx-auto-ssl

自定义nginx.conf

当其他自定义方式无法满足需求时，可提供完整的nginx.conf配置文件。

示例Dockerfile：

Dockerfile
FROM elestio/nginx-auto-ssl
COPY nginx.conf /usr/local/openresty/nginx/conf/  # 覆盖默认nginx.conf

最小化可用配置（nginx.conf）：

nginx
events {
  worker_connections 1024;
}

http {
  include resty-http.conf;  # 必须包含的基础HTTP配置

  # HTTPS服务器
  server {
    listen 443 ssl;
    include resty-server-https.conf;  # 必须包含的SSL配置
    server_name example.com;

    location / {
      proxy_pass http://app:80;
    }
  }

  # HTTP服务器（用于Let's Encrypt验证和重定向）
  server {
    listen 80 default_server;
    include resty-server-http.conf;  # 必须包含的HTTP配置
  }
}

构建并运行自定义镜像：

bash
docker build -t custom-nginx-auto-ssl .
docker run -d --name nginx -p 80:80 -p 443:443 custom-nginx-auto-ssl