GCE 上の最も単純な nginx centos セットアップで「接続拒否」が発生する原因は何でしょうか?

Question 1

質問には 3 つの主なポイントがあることがわかります。バックエンドとしての nodejs アプリ、ポート 443 でリッスンしていない nginx、リバースプロキシ構成です。各ポイントを個別に確認してみましょう。

nodejs アプリ: ローカルホストからアクセスして、正しく応答することを確認します

カールhttp://127.0.0.1/3000

nginx がポート 443 でリッスンしていません: そのためには nginx でサーバーブロックを構成する必要があります。また、HTTP から HTTPS にリダイレクトすることも良いアイデアです:

server {
    listen 80 default_server;
    server_name fizzbuzz.app www.fizzbuzz.app;
    return 301 https://fizzbuzz.app$request_uri;
}


server {
    listen 8443 ssl;
    server_name fizzbuzz.app www.fizzbuzz.app;

    index index.html index.htm;

    access_log /var/log/nginx/fizzbuzz-access.log;
    error_log /var/log/nginx/fizzbuzz-error.log error;

     location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
     }

    ssl_certificate     /etc/ssl/certs/fizzbuzz.app-fullchain.pem;
    ssl_certificate_key /etc/ssl/private/fizzbuzz.app.key;
}

証明書を発行するには、certbot または ACME スクリプトを使用することをお勧めします。

つまり、acme.sh を使用すると、次のコマンドで証明書を発行できます。

/root/.acme.sh/acme.sh --issue --nginx -d fuzzbuzz.app -d www.fuzzbuzz.ap

/root/.acme.sh/acme.sh --install-cert -d fuzzbuzz.app -d www.fuzzbuzz.app \
--cert-file /etc/ssl/certs/fuzzbuzz.app.crt \
--key-file /etc/ssl/certs/fuzzbuzz.app.key \
--fullchain-file ${CERTS_DIR}/fuzzbuzz.app-fullchain.pem \
--log /var/log/acme_log \
--reloadcmd "systemctl restart nginx"

証明書を発行して配置したら、nginxを再起動してテストします。

3 番目のポイントは、アプリケーションを HTTPS 経由で公開するためのリバースプロキシとして nginx を構成することです。上記の構成は機能するはずです。機能しない場合は、この種の構成について正確に説明している GoCD のこのドキュメントを読むことをお勧めします。

リバースプロキシを構成する

Answer

質問には 3 つの主なポイントがあることがわかります。バックエンドとしての nodejs アプリ、ポート 443 でリッスンしていない nginx、リバースプロキシ構成です。各ポイントを個別に確認してみましょう。

nodejs アプリ: ローカルホストからアクセスして、正しく応答することを確認します

カールhttp://127.0.0.1/3000

nginx がポート 443 でリッスンしていません: そのためには nginx でサーバーブロックを構成する必要があります。また、HTTP から HTTPS にリダイレクトすることも良いアイデアです:

server {
    listen 80 default_server;
    server_name fizzbuzz.app www.fizzbuzz.app;
    return 301 https://fizzbuzz.app$request_uri;
}


server {
    listen 8443 ssl;
    server_name fizzbuzz.app www.fizzbuzz.app;

    index index.html index.htm;

    access_log /var/log/nginx/fizzbuzz-access.log;
    error_log /var/log/nginx/fizzbuzz-error.log error;

     location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
     }

    ssl_certificate     /etc/ssl/certs/fizzbuzz.app-fullchain.pem;
    ssl_certificate_key /etc/ssl/private/fizzbuzz.app.key;
}

証明書を発行するには、certbot または ACME スクリプトを使用することをお勧めします。

つまり、acme.sh を使用すると、次のコマンドで証明書を発行できます。

/root/.acme.sh/acme.sh --issue --nginx -d fuzzbuzz.app -d www.fuzzbuzz.ap

/root/.acme.sh/acme.sh --install-cert -d fuzzbuzz.app -d www.fuzzbuzz.app \
--cert-file /etc/ssl/certs/fuzzbuzz.app.crt \
--key-file /etc/ssl/certs/fuzzbuzz.app.key \
--fullchain-file ${CERTS_DIR}/fuzzbuzz.app-fullchain.pem \
--log /var/log/acme_log \
--reloadcmd "systemctl restart nginx"

証明書を発行して配置したら、nginxを再起動してテストします。

3 番目のポイントは、アプリケーションを HTTPS 経由で公開するためのリバースプロキシとして nginx を構成することです。上記の構成は機能するはずです。機能しない場合は、この種の構成について正確に説明している GoCD のこのドキュメントを読むことをお勧めします。

リバースプロキシを構成する

Question 2

私はそれを考え出した！！！

.APP! これまでずっと .app TLD でした!!!

コメント投稿者に名前と IP を提供するためにランダムなドメイン名を購入しようとしていたところ、面白半分に .app を選択しました (このテスト用にばかげた名前を考えていました)。すると、次のメッセージを読みました。「.APP は安全な名前空間です。Foobarington.app を今すぐ購入できますが、Web サイトへの接続には SSL 証明書が必要になります。安全な名前空間と SSL 証明書の取得方法について詳しくは、こちらをご覧ください。

そうなんです! .app ドメインをサーバーに指定しようとしたところ、その時点でサーバーに SSL 証明書がなかったため、ロードされませんでした。証明書を取得するために CertBot を使用するつもりでしたが、自動証明書付与を行うには最初に http アクセスが必要でした。

この TLD タイプとホストを使用して Certbot (または同等のソリューション) を機能させる方法を見つける必要がありますが、この問題が発生しているのは間違いなく私が使用している TLD タイプです。

Answer