リバースプロキシを利用した何も考えずにTLS対応のサーバーを立てる方法

背景

以下のような利用を想定しています。

1. ウェブアプリが NodeJS でポート 3030 で起動中(ポート自体は何でも良い)
2. HTTP に対応してポート(80)でウェブアプリにアクセスできるようにしたい
3. TLS に対応して HTTPS(ポート 443)でウェブアプリにアクセスできるようにしたい
4. TLS の更新に Cloudflare の SSL/TLS を利用したい
5. IP アドレスが変更されたときに DDNS で自動的に対応したい

SSL/TLS 対応は Let’s encrypt を使うのが有名ですが、地味にめんどくさいので Cloudflare の機能で代用しようというわけです。

必要なもの

SSL/TLS 対応は Docker イメージを利用しないので、必要なものは以下の三つです。ウェブアプリの Docker イメージについては自分で作成してください。

1. jwilder/nginx-proxy
   • リバースプロキシを可能にします
2. oznu/cloudflare-ddns
   • 定期的に Cloudflare に DDNS の通知を飛ばします
3. ウェブアプリ

docker compose

以下のような YAML ファイルを作成します。

1
version: "3.9"
2

3
services:
4
  app:
5
    image: xxxxxx/xxxxxx:latest
6
    container_name: app
7
    ports:
8
      - $VIRTUAL_PORT:$VIRTUAL_PORT
9
    environment:
10
      VIRTUAL_HOST: $VIRTUAL_HOST
11
    restart: unless-stopped
12

13
  nginx_proxy:
14
    image: jwilder/nginx-proxy
15
    container_name: nginx_proxy
16
    ports:
17
      - 80:80
18
    volumes:
19
      - /var/run/docker.sock:/tmp/docker.sock:ro
20
    environment:
21
      ENABLE_IPV6: true
22
      TRUST_DOWNSTREAM_PROXY: true
23

24
  cloudflare_ddns:
25
    image: oznu/cloudflare-ddns:latest
26
    container_name: ddns
27
    restart: always
28
    environment:
29
      API_KEY: $API_KEY
30
      ZONE: $ZONE
31
      SUBDOMAIN: $SUBDOMAIN
32
      PROXIED: $PROXIED
33
      RRTYPE: $RRTYPE
34
    network_mode: "host"
35
    depends_on:
36
      nginx_proxy:
37
        condition: service_started

必要となる環境変数は以下の通り。

1
# Nginx
2
VIRTUAL_PORT=
3
VIRTUAL_HOST=
4

5
# Cloudflare DDNS
6
API_KEY=
7
ZONE=
8
SUBDOMAIN=
9
PROXIED=
10
RRTYPE=

ZONE と SUBDOMAIN の値は VIRTUAL_HOST と一致しなければいけません。

設定が正しく反映されているかはdocker compose configで確認できます。

起動

この状態で起動してみます。

1
docker compose up

動作確認

今回は以下の設定を利用しました。

1
VIRTUAL_PORT=3030
2
VIRTUAL_HOST=api.splatnet3.com
3
ZONE=splatnet3.com
4
SUBDOMAIN=api
5
API_PROXIED=true
6
API_RRTYPE=AAAA

AAAA(IPv6)に対応させているのは IPv6 では NAT 越えを考えずに単にグローバル ID を指定するだけで良いこと(ルーターでのポートフォワーディングが不要)が理由です。何か制約があるわけではないのであれば AAAA を指定したほうが良いです。

また、Cloudflare による HTTPS 化に対応させるためにはAPI_PROXIED=trueを指定する必要があります。これを設定することで Cloudflare までのアクセスは HTTPS で保護され、Cloudflare から実際のサーバーまでの通信は Proxy が適用されます。

よって、アクセスして動作確認をする URL は以下の五つです。

ローカル IP のものは当たり前ですがローカルでしか繋がりません

1. http://localhost:3030/docs
   • ウェブアプリの起動確認
2. http://api.splatnet3.com:3030/docs
   • DDNS の動作確認
3. http://localhost/docs
   • Nginx Proxy の動作確認
   • 多分これは繋がらないと思う(理由はよくわかっていない)
4. http://api.splatnet3.com/docs
   • DDNS + Nginx Proxy の動作確認

4 が繋がったら DDNS と Nginx Proxy が正しく動いているので最後に HTTPS 対応の処理を行います。

Google Chrome などでは自動で HTTPS にリダイレクトされる機能があるかもしれないので何らかの方法で直接プロトコルを指定して叩くと良いかもです。

Cloudflare の設定

Cloudflare のウェブサイトからドメインを選択し SSL/TLS の項目を変更します。

Overview の項目で Your SSL/TLS encryption mode の設定で、

• Off(not secure)
• Flexible
• Full
• Full(strict)

があると思うのですがFlexibleを選択します。もしもサーバー自体が SSL/TLS に対応している場合は Full を選択して良いのですが、今回はウェブサーバー自体で SSL を設定していないので Flexible を選択します。

最後に HTTPS に対応した URL を開いて通信が正常に行えることを確認します。

5. https://api.splatnet3.com/docs
   • DDNS + Nginx Proxy + TLS の動作確認

記事は以上。