nineap
51788f73ee
Порт 8080 закрыт для всего интернета (ufw allow только с IP VPS данных — нужен центральному Prometheus для /metrics), публичный вход только account.netrunner-vpn.com через system nginx с настоящим Let's Encrypt сертификатом. Тот же принцип, что и nginx у netrunner-data.
27 lines
1.3 KiB
Plaintext
27 lines
1.3 KiB
Plaintext
# Часть 2/2 — деплой (.gitea/workflows/deploy-nginx.yml) включает этот файл
|
|
# ТОЛЬКО когда на сервере уже есть сертификат
|
|
# /etc/letsencrypt/live/account.netrunner-vpn.com/ (иначе nginx -t упадёт).
|
|
#
|
|
# Реальный IP посетителя восстанавливается из CF-Connecting-IP —
|
|
# см. /etc/nginx/conf.d/cloudflare-real-ip.conf на самом сервере (общий для
|
|
# всех доменов на этом VPS, не часть этого репозитория) — без него
|
|
# rate-limiting (tower_governor) считал бы все запросы приходящими с одного
|
|
# IP Cloudflare, а не реальных клиентов.
|
|
server {
|
|
listen 443 ssl;
|
|
listen [::]:443 ssl;
|
|
http2 on;
|
|
server_name account.netrunner-vpn.com;
|
|
|
|
ssl_certificate /etc/letsencrypt/live/account.netrunner-vpn.com/fullchain.pem;
|
|
ssl_certificate_key /etc/letsencrypt/live/account.netrunner-vpn.com/privkey.pem;
|
|
|
|
location / {
|
|
proxy_pass http://127.0.0.1:8080;
|
|
proxy_set_header Host $host;
|
|
proxy_set_header X-Real-IP $remote_addr;
|
|
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
|
proxy_set_header X-Forwarded-Proto $scheme;
|
|
}
|
|
}
|