Посоны, у меня тут час ночи и мне хочется странного.
Есть хост с парой веб-сервисов, обслуживаемых одним инстансом nginx. Хочется вынести каждый в отдельный LXC-контейнер, чтобы секурно. То есть в контейнере у меня будут nginx, интерпретатор недоязычка, на котором написан сервис, СУБД и ещё кое-какие сервисы. Если бы контейнер был один, то проблемы не было бы, но мне нужно, чтобы оба сервиса слушали 80-й и 443-й порты хоста.
Я правильно понимаю, что единственный способ добиться такого — это вкатить на хост Nginx, используемый в качестве прокси? А что, если в Nginx дырка? Ведь тогда мой хост поимеют! Пичалька.
Есть ли способ не терминировать HTTPS на хосте, а спокойненько проксировать в соответствующий контейнер? Хотелось бы, чтобы приватные ключи не покидали свой контейнер.
Ну и да: я не спрашивал, если бы знал, как это гуглить. Проявите снисхождение, пожалуйста.
засунуть nginx в третий контейнер обв
@lexszero было у меня в комментарии // #YEDOVC/H82
@anonymous Я сначала подумал, что ты петросян, но после #YEDOVC/H82 понял, что просто туплю. Так что вам с @lexszero спасибо.
@l29ah lighttpd? Ну спасибо, что не
python3 -m http.serverURL-то зашифрованы, но если я правильно понимаю работу TLS, то при установке зашифрованного соединения присылается запрос вида «слышь, $HOSTNAME…». Вот по $HOSTNAME вполне можно было бы разруливать. Я ошибаюсь?
@minoru это SNI, которое не везде поддерживается. Без SNI нихуя не посылается
@minoru одно приложение на контейнер же :dockerface:
@anonymous А, ну дык у меня же и так одним инстансом Nginx обслуживается два разных хостнейма, так что клиенты без SNI уже страдают. Но спасибо за уточнение.
@l29ah Не то, чтобы прям не нравки, просто Nginx как-то роднее (хоть я и не понимаю, зачем мне поддержка IMAP и SNTP в веб-сервере). Вообще нужно почитать, может, он за счёт меньшей популярности будет полущ в плане безопасности. Олсо насколько я помню, Lighttp сливал Nginx-у по производительности.
@stiletto Впервые слышу о HAProxy, но выглядит интересно, спасибо!
@anonymous Контейнер позволяет мне не волноваться о том, что из-за дырки в одном из сервисов я потеряю контроль надо всеми остальными (и, возможно, хостом). Если ты не согласен с этим, предоставь пруфы, потому что я нагуглить не смог (пробовал «does containers improve security», но, видно, до меня никто таким вопросом не задавался. Олсо да, результатов нет ни в DDG, ни в Google).
@komar Но безопасность-то оно повышает (см. #YEDOVC/AIX)?