求助,希望实现外网https访问到docker容器

VaporTang

前置:我的路由器wan口是有运营商的公网ip的 外网80和443自然也是被约束了的


在配置里开放端口访问权限后
目前外网用我的域名:8090是可以访问这个容器的 (http)

然后我的折腾开始了
我希望外网可以使用https连接到我的docker容器 [浏览器提示不安全非常不顺眼]
已经申请到了.pem证书了
开始研究nginx
尝试配置,但是对nginx一窍不通
我是让nginx把uci干掉了,然后似乎目前我路由器也没有uhttpd[不知道为啥,但是我openwrt web是正常的]
先贴一个默认的配置[这个配置一切正常,浏览器192.168.1.1就是openwrt的web ui]

1. worker_processes auto;
   
2. 
   
3. user root;
   
4. 
   
5. events {}
   
6. 
   
7. http {
   
8.         access_log off;
   
9.         log_format openwrt
   
10.                 '$request_method $scheme://$host$request_uri => $status'
    
11.                 ' (${body_bytes_sent}B in ${request_time}s) <- $http_referer';
    
12. 
    
13. include mime.types;
    
14. default_type application/octet-stream;
    
15. sendfile on;
    
16. 
    
17. client_max_body_size 2048M;
    
18. client_body_buffer_size 8192M;
    
19. large_client_header_buffers 2 1k;
    
20. 
    
21. gzip on;
    
22. gzip_vary on;
    
23. gzip_proxied any;
    
24. 
    
25. root /www;
    
26. server { #see uci show 'nginx._lan'
    
27. listen 80;
    
28. listen [::]:80;
    
29. server_name _lan;
    
30. include restrict_locally;
    
31. include conf.d/*.locations;
    
32. access_log off; # logd openwrt;
    
33. }
    
34. 
    
35. include conf.d/*.conf;
    
36. }

复制代码

然后我尝试修改成下面的就发现内网访问192.168.1.1(路由器内网ip)就会提示
嗯… 无法访问此页面

192.168.1.1 已拒绝连接。

这个配置真的纯属乱写,大佬勿喷,我已经socat把外部8443转到内部443了,所以下面有个8443

1. events {}
   
2. 
   
3. http {
   
4.         access_log off;
   
5.         log_format openwrt
   
6.                 '$request_method $scheme://$host$request_uri => $status'
   
7.                 ' (${body_bytes_sent}B in ${request_time}s) <- $http_referer';
   
8. 
   
9.         include mime.types;
   
10.         default_type application/octet-stream;
    
11.         sendfile on;
    
12. 
    
13.         client_max_body_size 2048M;
    
14.         client_body_buffer_size 8192M;
    
15.         large_client_header_buffers 2 1k;
    
16. 
    
17.         gzip on;
    
18.         gzip_vary on;
    
19.         gzip_proxied any;
    
20. 
    
21.         root /www;
    
22. 
    
23.         server {
    
24.                 listen 80;
    
25.                 listen [::]:80;
    
26.                 server_name _lan;
    
27.                 include restrict_locally;
    
28.                 include conf.d/*.locations;
    
29.                 access_log off; # logd openwrt;
    
30.         }
    
31. 
    
32.         server {
    
33.                 listen 8443 ssl;
    
34.                 server_name domain; # 域名我就不贴了
    
35.                 ssl_certificate /etc/nginx/conf.d/domain.cert.pem;
    
36.                 ssl_certificate_key /etc/nginx/conf.d/domain.key.pem;
    
37. 
    
38.                 location / {
    
39.                         proxy_pass http://localhost:8090;
    
40.                         proxy_set_header Host $host;
    
41.                         proxy_set_header X-Real-IP $remote_addr;
    
42.                         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    
43.                         proxy_set_header X-Forwarded-Proto $scheme;
    
44.                         proxy_redirect off;
    
45.                 }
    
46.         }
    
47. 
    
48.         include conf.d/*.conf;
    
49. }

复制代码

希望能来个大佬帮我看看,只要能实现我目的就行,不是必须得用nginx
感觉我有点啰嗦,但是主要我是希望可以把我的网络环境全面的讲一下,openwrt各种冲突都爱好了?
核心目的就一个吧
外网在浏览器地址栏输入我的域名:8090,https连接到我的路由器然后可以访问到docker容器
万分感激

tty228

clash 有个设置，关闭外网访问权限，找到它，关掉就行了

VaporTang

tty228 发表于 2023-6-24 22:17
clash 有个设置，关闭外网访问权限，找到它，关掉就行了

请问你这个如何实现我的需求,以及我的openclsh的docker的冲突已经处理好了?

tty228

VaporTang 发表于 2023-6-24 22:19
请问你这个如何实现我的需求,以及我的openclsh的docker的冲突已经处理好了? ...

你外网无法访问本来就是 clash 接管了防火墙引起的问题，关掉就完事了还能有什么冲突

VaporTang

tty228 发表于 2023-6-24 22:24
你外网无法访问本来就是 clash 接管了防火墙引起的问题，关掉就完事了还能有什么冲突
...

你好,我的需求是https连接docker容器
我提及openclash只是想说明openclash可能会和docker端口冲突,但是目前这个情况被我修复了
我现在希望实现的就是外网https连接我的docker容器,和我开不开clash无关,而且就算clash修改了防火墙,我的容器用http协议在外网也可以访问

tty228

而且你要在外网访问你路由器上的 443 端口，不需要更改 nginx 或者 uhttpd 的监听端口，直接在防火墙上开启端口转发就可以了
你现在相当于 socat 把外部 8443 转到内部 443 ，然而你 https 的监听端口已经被改掉了，都不是 443 了，你转发到 443 有什么意义
要么就 **** 转发到 443，然后用 **** 访问，要么就改监听端口，直接用监听端口访问，为什么要两个都搞

VaporTang

tty228 发表于 2023-6-24 22:33
而且你要在外网访问你路由器上的 443 端口，不需要更改 nginx 或者 uhttpd 的监听端口，直接在防火墙上开启 ...

那么可以请你详细的从头开始告诉我该怎么做吗
谢谢你

tty228

如果你的证书无误的话，把 listen 8443 ssl; 的监听端口改为默认的 443，或者关闭 socat 上的端口转发，打开防火墙 8433 端口
应该都能通过 https://xxx:84330访问
你应该先确定内网可以正常访问 https 再进行以上操作，如果内网无法访问，检查证书或者 ssl 依赖

然后我没用过 nginx ，总觉得这一行怪怪的 proxy_pass http://localhost:8090;
反向代理用的吧
如果还是不行，建议恢复默认值重新设置

jjit

也是通过docker部署nginx-proxy-manager：https://zhuanlan.zhihu.com/p/465925053
在dockerman里的允许端口，选 https 的端口