jschnabel/nginx

jschnabel/docker-nginx

一个轻量级、预配置的Nginx容器，支持HTTP 2.0、TLS1.3并获得SSL Labs A评级

当前版本:

开发版本:

• 基于轻量级且安全的Alpine Linux发行版构建
• 极小的Docker镜像体积（约8MB）
• 优化用于快速交付静态内容和下游Web应用的代理内容
• 安全配置，预配置优化的TLS设置
• 预定义符合DSGVO的日志轮换设置，访问日志保留7天

什么是Nginx？

Nginx是一款Web服务器，也可用作反向代理、负载均衡器、邮件代理和HTTP缓存。（***）

为什么使用此镜像？

此镜像提供预配置的Nginx环境，支持TLS 1.3和HTTP 2.0。无需修改配置即可启动安全的TLS保护服务器（默认使用自签名证书），其配置在SSL Labs评级中获得A等级。

使用场景和适用范围

• 快速部署安全的Web服务器
• 托管静态网站内容
• 作为下游应用的反向代理
• 需要HTTP/2和TLS1.3支持的场景
• 对服务器安全性和性能有较高要求的环境

使用方法和配置说明

快速启动

最简单的启动命令：

bash
docker run -d -p 80:80 -p 443:443 docker.xuanyuan.run/jschnabel/nginx

或使用docker-compose：

yaml
services:
   nginx:
     image: docker.xuanyuan.run/jschnabel/nginx
     container_name: nginx
     ports:
       - 80:80
       - 443:443

启动后，通过浏览器访问服务器IP或域名，可看到测试页面。

托管静态内容

通过挂载目录到/media/data/webroot来托管自定义静态内容：

yaml
services:
   nginx:
     image: docker.xuanyuan.run/jschnabel/nginx
     container_name: nginx
     ports:
       - 80:80
       - 443:443	 
     volumes:
       - /media/docker/volumes/nginx/webroot:/media/data/webroot

上述示例中，主机目录/media/docker/volumes/nginx/webroot中的所有数据将作为网站内容发布。

自定义SSL证书

默认自签名证书会导致浏览器警告，建议使用Let's Encrypt证书。以下是两种获取和配置证书的方法：

使用ACME.sh

1. 在主机安装acme.sh，执行以下命令生成证书（替换<your.domain>为实际域名）：

bash
acme.sh --issue -d <your.domain> --cert-file /media/docker/volumes/nginx/webroot/cert.pem --key-file /media/docker/volumes/nginx/webroot/key.pem --fullchain-file /media/docker/volumes/nginx/webroot/fullchain.pem --reloadcmd "docker restart nginx"

2. 证书文件生成在：

   /media/docker/volumes/nginx/webroot/cert.pem 
   /media/docker/volumes/nginx/webroot/key.pem
   /media/docker/volumes/nginx/webroot/fullchain.pem
   

3. 在docker-compose中挂载证书：

yaml
services:
   nginx:
     image: docker.xuanyuan.run/jschnabel/nginx
     container_name: nginx
     ports:
       - 80:80
       - 443:443	 
     volumes:
       - /media/docker/volumes/nginx/webroot:/media/data/webroot
       - /etc/letsencrypt/live/<your.domain>/fullchain.pem:/media/data/certs/default_cert.pem:ro
       - /etc/letsencrypt/live/<your.domain>/privkey.pem:/media/data/certs/default_key.pem:ro

使用Certbot

1. 在主机安装certbot，执行以下命令生成证书：

bash
certbot certonly --webroot --webroot-path /media/docker/volumes/nginx/webroot --rsa-key-size 4096 --renew-by-default -d <your.domain>

2. 证书文件生成在：

   /etc/letsencrypt/live/<your.domain>/fullchain.pem
   /etc/letsencrypt/live/<your.domain>/privkey.pem
   

3. 挂载证书（配置同ACME.sh方法步骤3）。

自定义配置

通过挂载配置文件到/media/data/sites-enabled（站点配置）和/media/data/streams（流配置）来自定义Nginx行为。

docker-compose配置

yaml
services:
   nginx:
     image: docker.xuanyuan.run/jschnabel/nginx
     container_name: nginx
     ports:
       - 80:80
       - 443:443	 
     volumes:
       - /media/docker/volumes/nginx/webroot:/media/data/webroot
       - /etc/letsencrypt/live/<your.domain>/fullchain.pem:/media/data/certs/default_cert.pem:ro
       - /etc/letsencrypt/live/<your.domain>/privkey.pem:/media/data/certs/default_key.pem:ro
       - /media/docker/volumes/nginx/sites:/media/data/sites-enabled
       - /media/docker/volumes/nginx/streams:/media/data/streams

自定义站点配置示例

创建文件挂载到/media/data/sites-enabled：

nginx
server {
	listen 80;
	listen [::]:80;
	server_name <your.domain>; 
	
	return 301 https://$host$request_uri;
}

server {
	listen 443 ssl http2;
	listen [::]:443 ssl http2;
	server_name <your.domain>; 
	
	ssl_certificate	 /media/data/certs/<your.domain>.pem;
	ssl_certificate_key /media/data/certs/<your.domain>.pem;

	include /media/data/snippets/gzip.conf;
	include /media/data/snippets/header.conf;
	include /media/data/snippets/tls.conf;
	
	location / {
		root   /media/data/webroot/<your.domain>;
		index  index.html index.htm;
	}

	error_page   500 502 503 504  /50x.html;
	location = /50x.html {
		root   /media/data/webroot/<your.domain>;
	}
}

自定义流配置示例

创建文件挂载到/media/data/streams：

stream {
    upstream mqtt {
         server mosquitto:1883;
    }

    server {
        listen                8883 ssl;
        proxy_pass            mqtt;

        ssl_certificate  /media/data/certs/default_cert.pem;
        ssl_certificate_key /media/data/certs/default_key.pem;

        include /media/data/snippets/tls_stream.conf;
    }

    server {
        listen                1883;
        proxy_pass            mqtt;
    }
}

基本认证（Basic Auth）

通过包含basic_auth.conf snippet启用基本认证：

nginx
location / {
	include /media/data/snippets/basic_auth.conf;
	
	root   /media/data/webroot/<your.domain>;
	index  index.html index.htm;
}

执行以下命令添加用户（替换nginx_proxy为容器名）：

bash
docker exec -it nginx_proxy /media/data/scripts/addUser.sh /media/data/passwords/htpasswd

WebDAV配置

通过包含webdav.conf snippet配置WebDAV共享（建议配合认证使用）：

nginx
location / {
	include /media/data/snippets/basic_auth.conf;
	include /media/data/snippets/webdav.conf;
}

日志文件

默认日志文件（访问日志和错误日志）存储在/media/data/logs，可挂载此目录进行外部日志处理：

yaml
volumes:
  - /media/docker/volumes/nginx/logs:/media/data/logs

提升SSL Labs评级

密钥交换（Key Exchange）100%

使用4096位RSA证书或ECDSA P-384/P-521证书：

• ACME.sh生成4096位RSA证书：

  bash
  acme.sh --issue --keylength 4096 -d <your.domain> ...
  

• ACME.sh生成ECDSA P-384证书：

  bash
  acme.sh --issue --ecc --keylength ec-384 -d <your.domain> ...
  

• Certbot生成4096位RSA证书：

  bash
  certbot certonly --rsa-key-size 4096 ...
  

密码套件强度（Cipher Strength）100%

使用tls_strong.conf snippet（移除128位密码套件，可能影响旧客户端兼容性）：

nginx
server {
	# ... 其他配置 ...
	include /media/data/snippets/tls_strong.conf;  # 替换原tls.conf
	# ... 其他配置 ...
}

禁用TLS

通过设置环境变量DISABLETLS=true禁用TLS：

yaml
services:
   nginx:
     image: jschnabel/nginx
     container_name: nginx
     environment:
       - DISABLETLS="true"
     ports:
       - 80:80
     volumes:
       - /media/docker/volumes/nginx/webroot:/media/data/webroot