Page History

Для работы серверных компонентов системы на ОС Linux требуется веб-сервер, работающий в режиме работы обратного прокси-сервера.
Nginx — это HTTP-сервер и обратный прокси-сервер, почтовый прокси-сервер, а также TCP/UDP прокси-сервер общего назначения, продукт позиционируется производителем как простой, быстрый и надежный. 

...

Ручное добавление репозитория nginxnginx 

RHEL и производные дистрибутивы

...

Для подключения yum-репозитория создайте файл с именем /etc/yum.repos.d/nginx.repo со следующим содержимым:

...

1. Выпустить сертификат на УЦ, например, Microsoft CA, экспортировать данный сертификат в формате .pfx на машину с установленным nginx (с закрытым ключом, с цепочкой корневых/промежуточных УЦ), и сертификат корневого УЦ.

   Warning
   Субъект (Subject) сертификата должен содержать FQDN сервера

   Indeed CM

   Rutoken KeyBox. Дополнительное имя субъекта (Subject Alternative Name) сертификата должно содержать атрибут DNS-имя (DNS Name) (FQDN сервера

   Indeed CM

   Rutoken KeyBox). Например: redos.demo.local или соответствующую запись с подстановочными знаками, например: *. demo.local (Wildcard certificate). Улучшенный ключ (Enhanced Key Usage) сертификата должен содержать значение Проверка подлинности сервера (Server Authentication).

2. Добавить сертификат корневого УЦ в доверенные на машине с установленным nginx.
   Для RHEL и производных дистрибутивов:

   sudo cp ./root-ca.crt /etc/pki/ca-trust/source/anchors/ sudo update-ca-trust extract

   Для Debian и производных дистрибутивов:

   sudo cp ./root-ca.crt /usr/local/share/ca-certificates/ sudo update-ca-certificates -f

3. Разделить .pfx сертификат на файл цепочки сертификатов и ключ, сделать файл ключа без пароля (необходимо подставить имя импортированного файла вместо PFXFILE): 

   openssl pkcs12 -in PFXFILE.pfx -chain -nokeys | sed -ne '/-BEGIN CERTIFICATE/,/END CERTIFICATE/p' > SSL.crt openssl pkcs12 -in PFXFILE.pfx -nocerts -out SSLencrypted.key openssl rsa -in SSLencrypted.key -out SSL.key

   Файл цепочки сертификатов должен быть следующего вида:

   -----BEGIN CERTIFICATE----- #Ваш сертификат# -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- #Промежуточный сертификат# -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- #Корневой сертификат# -----END CERTIFICATE-----

4. Скопировать файлы цепочки сертификатов и ключа в папку, которая будет указана в файле конфигурации nginx:
   

   sudo cp ./SSL.crt /etc/ssl/private/ sudo cp ./SSL.key /etc/ssl/private/

Настройка конфигурационного файла

Для работы Indeed CM Рутокен KeyBox требуется настроить nginx, чтобы он обслуживал запросы и отправлял их на проксируемый адрес (сервис Indeed CMRutokenKeyBox).
Как работают nginx и его модули, определяется в конфигурационном файле, по умолчанию он называется nginx.conf и в зависимости от операционной системы расположен в каталоге /usr/local/nginx/conf, /etc/nginx или /usr/local/etc/nginx. 

...

...

1. Создайте файл с многократно используемыми директивами. Возможно разместить такой файл с расширением .conf в каталоге /etc/nginx/conf.d/.
   
   Рекомендуемое содержимое файла: 

   proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection keep-alive; proxy_set_header Host $host; proxy_cache_bypass $http_upgrade; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; fastcgi_buffers 16 16k; fastcgi_buffer_size 32k;

2. Сконфигурируйте основной файл конфигурации nginx.

   Warning
   Имена контекстов location должны совпадать с путем к проксируемому сервису.

   Пример файла nginx.conf, сконфигурированного для работы с Indeed CMRutokenKeyBox:

   user nginx; worker_processes auto; error_log /var/log/nginx/error.log notice; events {    worker_connections 1024;    }   http {     proxy_buffer_size   16k;     proxy_buffers   4 16k;     types_hash_max_size  4096;       log_format  main  '[$time_local] $remote_addr VIA $scheme --- $status --- $request \n $ssl_client_fingerprint';     access_log  /var/log/nginx/access.log  main;     sendfile                on;     tcp_nopush              on;     include                 /etc/nginx/mime.types;     default_type            application/octet-stream;           server {         listen              443 ssl;         server_name         redos.demo.local;           ssl_certificate     "/etc/ssl/private/SSL.crt";         ssl_certificate_key "/etc/ssl/private/SSL.key";           location /cm/oidc          {   include /etc/nginx/conf.d/proxy.conf;                   proxy_pass http://localhost:5000/cm/oidc;  }         location /cm/mc             {   include /etc/nginx/conf.d/proxy.conf;                   proxy_pass http://localhost:5001/cm/mc;    }         location /cm/ss             {   include /etc/nginx/conf.d/proxy.conf;                   proxy_pass http://localhost:5002/cm/ss;    }         location /cm/rss             {   include /etc/nginx/conf.d/proxy.conf;                   proxy_pass http://localhost:5003/cm/rss;    }         location /cm/api             {   include /etc/nginx/conf.d/proxy.conf;                   proxy_pass http://localhost:5004/cm/api;    }         location /cm/credprovapi          {   include /etc/nginx/conf.d/proxy.conf;                   proxy_pass http://localhost:5005/cm/credprovapi;    }     }           server {         listen              3003 ssl;         server_name         redos.demo.local;           ssl_certificate     "/etc/ssl/private/SSL.crt";         ssl_certificate_key "/etc/ssl/private/SSL.key";         ssl_verify_client   optional_no_ca;                   location /agentregistrationapi               {   include /etc/nginx/conf.d/proxy.conf;                   proxy_pass http://localhost:5006/agentregistrationapi;  }         location /agentserviceapi                {   include /etc/nginx/conf.d/proxy.conf;                   proxy_pass http://localhost:5007/agentserviceapi;                   proxy_set_header x-ssl-client-cert $ssl_client_escaped_cert;  }     } }

Изменения, сделанные в конфигурационном файле, не будут применены, пока nginx не будет отправлена команда перезагрузить конфигурацию или он не будет перезапущен. Для перезагрузки конфигурации выполните команду:

Файлы

proxy.conf

nginx.conf