justsml/ssl-proxy

基于Docker和Nginx的SSL反向代理镜像

保护任何HTTP服务通过HTTPS访问！

一个基于Nginx和Docker的HTTPS/SSL反向代理工具，会自动升级到最新版Nginx。

目录

1. 核心功能
2. 示例
3. 快速开始
   • 保护Docker Registry示例
   • 保护Rancher Server示例
   • 使用Docker Compose保护Rancher Server示例
   • 客户端证书验证示例
4. 参数配置

核心功能

• 基于最新版Nginx和Alpine Linux
• 支持快速HTTP2 TLS反向代理
• 高级CORS支持（含凭证、自动主机名、智能头信息）
• 自动WebSocket支持
• NPN/ALPN应用层协议协商（可通过此工具测试）
• TLS前向保密（PFS）
• 可选用户名密码认证（bcrypt加密14+轮次）或挂载.htpasswd文件支持多用户
• 适用于保护Docker Registry、Rancher Server、WordPress等服务

示例

SSL Labs/Qualys SSL & TLS报告示例：

默认配置下的预期效果
!image
!image

快速开始

前提条件

1. https://gist.github.com/justsml/63d2884e1cd88d6785999a2eb09cf48e

保护Docker Registry示例

sh
# 启动Docker Registry
docker run -d --restart=on-failure:5 \
  --name docker-registry \
  -v /data/registry/registry:/var/lib/registry \
  registry:2.5

# 创建SSL代理指向Registry
docker run -d --restart=on-failure:5 \
  --name ssl-proxy \
  -p 5000:5000 \
  -e 'SERVER_NAME=hub.example.com' \
  -e 'UPSTREAM_TARGET=docker-registry:5000' \
  -e 'HTTPS_PORT=5000' \
  -e 'USERNAME=devops' \
  -e 'PASSWORD=secure' \
  -e 'CERT_PUBLIC_PATH=/certs/fullchain.pem' \
  -e 'CERT_PRIVATE_PATH=/certs/privkey.pem' \
  -e "ADD_HEADER='Docker-Distribution-Api-Version' 'registry/2.0' always" \
  -v '/certs:/certs:ro' \
  --link 'docker-registry:docker-registry' \
  justsml/ssl-proxy:latest

保护Rancher Server示例

sh
# 更新镜像缓存
docker pull rancher/server:latest && docker pull justsml/ssl-proxy:latest

# 启动Rancher服务
docker run -d --restart=always \
  --name rancher-server \
  -v /data/rancher/mysql:/var/lib/mysql \
  rancher/server:latest

# 创建SSL代理
docker run -d --restart=always \
  --name rancher-proxy \
  -p 8080:8080 \
  -e 'HTTPS_PORT=8080' \
  -e 'SERVER_NAME=_' \
  -e 'UPSTREAM_TARGET=rancher-server:8080' \
  -e 'CERT_PUBLIC_PATH=/certs/fullchain.pem' \
  -e 'CERT_PRIVATE_PATH=/certs/privkey.pem' \
  -v '/certs:/certs:ro' \
  --link 'rancher-server:rancher-server' \
  justsml/ssl-proxy:latest

使用Docker Compose保护Rancher Server示例

yaml
version: '2'
services:
  ssl-proxy:
    image: justsml/ssl-proxy:latest
    environment:
    - HTTPS_PORT=8080
    - SERVER_NAME=rancher.example.com
    - UPSTREAM_TARGET=rancher-server:8080
    - CERT_PUBLIC_PATH=/certs/fullchain.pem
    - CERT_PRIVATE_PATH=/certs/privkey.pem
    volumes: [ '/certs:/certs:ro' ]
    links: [ 'rancher-server:rancher-server' ]
    ports: [ '8080:8080' ]
  rancher-server:
    image: rancher/server:latest
    expose: [ '8080' ]
    volumes: [ '/data/rancher/mysql:/var/lib/mysql' ]

客户端证书验证示例

sh
# 启动回声服务器
docker run -d --restart=always \
  --name http-server \
  brndnmtthws/nginx-echo-headers

# 创建带客户端验证的代理
docker run -d --restart=always \
  --name verification-proxy \
  -p 443:443 \
  -e 'SERVER_NAME=verification.example.com' \
  -e 'UPSTREAM_TARGET=http-server:8080' \
  -e 'CERT_PUBLIC_PATH=/certs/fullchain.pem' \
  -e 'CERT_PRIVATE_PATH=/certs/privkey.pem' \
  -e 'SSL_VERIFY_CLIENT=on' \
  -e 'CERT_CLIENT_PATH=/certs/clientchain.pem' \
  -e 'ADD_PROXY_HEADER=X-Ssl-Client-Subject $ssl_client_s_dn' \
  -v '/certs:/certs:ro' \
  --link 'http-server:http-server' \
  justsml/ssl-proxy:latest

参数配置