feat: migrate reverse proxy to Traefik with SSL and JSON logging
This commit is contained in:
parent
3e615b70c7
commit
02d9a30356
|
|
@ -1,41 +1,27 @@
|
|||
# NGINX Pathfinder Proxy - Documentação Técnica
|
||||
# Pathfinder Proxy - Documentação Técnica (Traefik)
|
||||
|
||||
## Visão Geral
|
||||
|
||||
Projeto de infraestrutura para Proxy Reverso de Alta Disponibilidade, utilizando Containers Docker para modularidade e fácil manutenção.
|
||||
Projeto de infraestrutura para Proxy Reverso de Alta Disponibilidade utilizando **Traefik Proxy**. O sistema automatiza a terminação SSL e o roteamento de tráfego para serviços internos (Docker) e externos (VMware/LXC).
|
||||
|
||||
## Arquitetura de Containers
|
||||
|
||||
O projeto roda sobre 3 serviços orquestrados via `docker-compose.yml`:
|
||||
O projeto centraliza o tráfego no serviço `traefik`:
|
||||
|
||||
| Serviço | Imagem | Porta Exposta | Função |
|
||||
|---------|--------|---------------|--------|
|
||||
| **modsecurity** | `owasp/modsecurity-crs:nginx-alpine` | `80`, `443` | **Frontend (WAF)**. Recebe todo o tráfego da internet, filtra ataques (SQLi, XSS) e encaminha requisições limpas para o Proxy. |
|
||||
| **nginx-proxy** | `alpine` (Custom Build) | `8080` (Interna) | **Backend Proxy**. Gerencia vhosts, terminação SSL, cache, compressão Brotli e roteamento para as aplicações finais. |
|
||||
| **fail2ban** | `crazymax/fail2ban` | - | **Watchdog**. Lê logs compartilhados dos dois containers acima e bane IPs maliciosos diretamente no host (via iptables). |
|
||||
| **traefik** | `traefik:v2.10` | `80`, `443`, `8080` | **Reverse Proxy & SSL**. Gerencia certificados Let's Encrypt, roteamento de vhosts e dashboard. |
|
||||
|
||||
---
|
||||
|
||||
## Automação SSL
|
||||
|
||||
O sistema possui um mecanismo de **auto-cura** para certificados SSL.
|
||||
Utiliza o **ACME** nativo do Traefik.
|
||||
|
||||
### Componentes
|
||||
1. **Certbot**: Instalado dentro do container `nginx-proxy`.
|
||||
2. **Volumes**:
|
||||
- `ssl/`: Onde ficam os arquivos `.crt` e `.key` usados pelo NGINX.
|
||||
- `certbot/`: Onde o Certbot guarda os arquivos originais do Let's Encrypt.
|
||||
3. **Scripts**:
|
||||
- `scripts/inject_acme.sh`: Varre todos os arquivos em `conf.d/` e injeta o snippet de validação ACME (`.well-known`) se não existir.
|
||||
- `scripts/renew_ssl.sh`:
|
||||
1. Verifica a data de expiração de cada certificado ativo.
|
||||
2. Se faltar **3 dias ou menos**, dispara `certbot renew`.
|
||||
3. Copia os novos arquivos gerados para a pasta `ssl/`.
|
||||
4. Recarrega o NGINX.
|
||||
|
||||
### Agendamento
|
||||
- **Cron**: Configurado no `pre-flight.sh` para rodar todos os dias às **01:00 AM**.
|
||||
- **Startup**: A verificação também roda a cada reinício do container.
|
||||
1. **Resolver**: `letsencrypt` configurado no `traefik.yml`.
|
||||
2. **Storage**: Arquivo `acme.json` (deve ter permissão `600`).
|
||||
3. **E-mail**: `suporte@itguys.com.br`.
|
||||
|
||||
---
|
||||
|
||||
|
|
@ -43,93 +29,40 @@ O sistema possui um mecanismo de **auto-cura** para certificados SSL.
|
|||
|
||||
```
|
||||
.
|
||||
├── conf.d/ # Configurações de sites (VHosts)
|
||||
├── snippets/ # Trechos reutilizáveis
|
||||
│ ├── acme_challenge.conf # Snippet para validação Let's Encrypt
|
||||
│ ├── internal_networks.conf # IPs permitidos (VPN/Local)
|
||||
│ └── ...
|
||||
├── scripts/ # Scripts de automação
|
||||
│ ├── pre-flight.sh # Entrypoint (DNS Check + Cron Setup)
|
||||
│ ├── inject_acme.sh # Injetor de config ACME
|
||||
│ └── renew_ssl.sh # Lógica de renovação
|
||||
├── ssl/ # Certificados em uso
|
||||
├── fail2ban/ # Configs do Fail2ban
|
||||
│ ├── jail.d/ # Definição das prisões
|
||||
│ └── filter.d/ # Regex de detecção
|
||||
├── docker-compose.yml # Orquestração do Traefik
|
||||
├── traefik.yml # Configuração Estática (Global)
|
||||
├── dynamic_conf.yml # Configuração Dinâmica (VHosts Externos)
|
||||
├── acme.json # Armazenamento de Certificados SSL
|
||||
├── .gemini/ # Documentação do projeto
|
||||
└── docker-compose.yml # Orquestração
|
||||
└── _backup/ # Legado do NGINX/ModSecurity
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Módulos Especiais
|
||||
## Logs e Monitoramento
|
||||
|
||||
### 1. Brotli & Headers More
|
||||
O container `nginx-proxy` é construído manualmente (`Dockerfile`) para incluir módulos que não vêm por padrão no Alpine:
|
||||
- `nginx-mod-http-brotli`
|
||||
- `nginx-mod-http-headers-more`
|
||||
|
||||
### 2. ModSecurity (WAF)
|
||||
Rodar o WAF em container separado (`modsecurity`) evita a necessidade de compilar o ModSecurity no NGINX principal.
|
||||
|
||||
**Arquitetura Customizada:**
|
||||
- **Injeção de Template**: Um arquivo `modsec.conf.template` local é montado durante o boot para contornar limitações de permissão do container oficial. Ele instrui o NGINX a carregar regras customizadas.
|
||||
- **Regras Modulares**: Localizadas em `modsec_rules/`, divididas por aplicação (`gitea-rule-exceptions.conf`, `nextcloud...`).
|
||||
- **Global**: `global-exceptions.conf` define apenas a whitelist de rede.
|
||||
- **Bypass de Emergência**: Se o WAF falhar, altere as portas no `docker-compose.yml` para expor o `nginx-proxy` diretamente.
|
||||
|
||||
---
|
||||
|
||||
## Fluxo de Deploy Atualizado
|
||||
|
||||
```mermaid
|
||||
graph TD
|
||||
Start[Deploy] --> DetectIP[Detectar IP Público]
|
||||
DetectIP --> Build[Docker Build (NGINX + Certbot)]
|
||||
Build --> Up[Docker Compose Up]
|
||||
Up --> PreFlight[Pre-Flight Script]
|
||||
|
||||
PreFlight --> DNSCheck[Validar DNS dos Domínios]
|
||||
DNSCheck --> CronSetup[Configurar Cron Job]
|
||||
CronSetup --> SSLCheck[Verificar Validade SSL]
|
||||
|
||||
SSLCheck -- Vence > 3 dias --> StartNginx[Iniciar NGINX]
|
||||
SSLCheck -- Vence <= 3 dias --> Renew[Rodar renew_ssl.sh]
|
||||
Renew --> StartNginx
|
||||
```
|
||||
- **Formato**: JSON (configurado em `traefik.yml`).
|
||||
- **Nível**: INFO.
|
||||
- **Acesso**: Dashboard disponível na porta `8080`.
|
||||
|
||||
---
|
||||
|
||||
## Comandos Operacionais
|
||||
|
||||
**Verificar status dos serviços:**
|
||||
**Verificar status:**
|
||||
```bash
|
||||
docker compose ps
|
||||
```
|
||||
|
||||
**Verificar validade dos SSL (Log):**
|
||||
**Ver logs em tempo real:**
|
||||
```bash
|
||||
docker compose logs nginx-proxy | grep "SSL"
|
||||
docker compose logs -f traefik
|
||||
```
|
||||
|
||||
**Forçar renovação SSL manualmente:**
|
||||
```bash
|
||||
docker compose exec nginx-proxy /scripts/renew_ssl.sh
|
||||
```
|
||||
**Adicionar novo site externo:**
|
||||
1. Editar `dynamic_conf.yml`.
|
||||
2. O Traefik detecta a mudança automaticamente (watch: true).
|
||||
|
||||
**Reload Zero-Downtime (Blue-Green Logic):**
|
||||
Este comando valida a configuração e executa um reload gracioso (`nginx -s reload`), onde novos workers assumem as novas configurações enquanto os antigos terminam as requisições correntes.
|
||||
```bash
|
||||
./scripts/reload.sh # Linux
|
||||
./scripts/reload.ps1 # Windows PowerShell
|
||||
```
|
||||
---
|
||||
|
||||
**Banir um IP manualmente:**
|
||||
```bash
|
||||
docker compose exec fail2ban fail2ban-client set nginx-badbots banip 1.2.3.4
|
||||
```
|
||||
|
||||
**Adicionar novo site:**
|
||||
1. Criar `conf.d/novo-site.conf`
|
||||
2. `docker compose restart nginx-proxy`
|
||||
3. O script de startup irá validar o DNS e injetar o suporte ACME automaticamente.
|
||||
*Mantido por IT Guys*
|
||||
|
|
|
|||
261
README.md
261
README.md
|
|
@ -1,143 +1,57 @@
|
|||
# NGINX Pathfinder Proxy
|
||||
# NGINX Pathfinder Proxy (Migrated to Traefik)
|
||||
|
||||
Solução moderna de Proxy Reverso containerizado, construída com NGINX, ModSecurity WAF e automação de SSL.
|
||||
Solução moderna de Proxy Reverso containerizado, agora utilizando **Traefik** para maior automação, suporte nativo a Docker e SSL gerenciado via Let's Encrypt.
|
||||
|
||||
## 🚀 Funcionalidades
|
||||
|
||||
### 🛡️ Segurança em Primeiro Lugar
|
||||
- **ModSecurity WAF**: Conjunto de Regras OWASP (CRS) integrado rodando como proxy sidecar/frontend.
|
||||
- **Fail2ban**: Serviço "cão de guarda" que bane IPs com comportamento suspeito (bots ruins, excesso de erros 4xx/5xx).
|
||||
- **Mapas de Segurança**: Bloqueio automatizado de User-Agents maliciosos e restrições de rede interna.
|
||||
### 🛡️ Traefik Proxy
|
||||
- **SSL Automatizado**: Let's Encrypt nativo com renovação automática.
|
||||
- **Auto-Discovery**: Detecta automaticamente novos containers Docker com labels específicos.
|
||||
- **Dashboard**: Interface visual para monitoramento de rotas e serviços.
|
||||
- **Logs em JSON**: Ideal para integração com stacks de monitoramento (ELK, Loki).
|
||||
|
||||
### ⚡ Performance
|
||||
- **HTTP/3 (QUIC)**: Habilitado para conexões modernas de baixa latência.
|
||||
- **Compressão Brotli**: Melhores taxas de compressão que o Gzip padrão.
|
||||
- **Headers More**: Manipulação avançada de cabeçalhos para respostas limpas.
|
||||
|
||||
### 🔒 SSL Automatizado
|
||||
- **Renovação Zero-Touch**: O Certbot integrado verifica a validade diariamente.
|
||||
- **Auto-Renovação**: Renova automaticamente certificados próximos do vencimento (<= 3 dias).
|
||||
- **Injeção Inteligente**: Injeta automaticamente os snippets de desafio ACME nas configurações dos sites.
|
||||
### ⚡ Performance & Flexibilidade
|
||||
- **HTTP/2 & HTTP/3**: Suporte a protocolos modernos.
|
||||
- **Roteamento Dinâmico**: Configuração de backends externos (VMs/LXC) via arquivo dinâmico.
|
||||
|
||||
---
|
||||
|
||||
## 🛠️ Como Trabalhar neste Repositório
|
||||
|
||||
### Pré-requisitos
|
||||
- Docker & Docker Compose instalados
|
||||
- Acesso à internet (para baixar imagens e validar SSL)
|
||||
- Docker & Docker Compose instalados.
|
||||
- Portas 80 e 443 liberadas.
|
||||
|
||||
### 1. Implantar o Servidor (Deploy)
|
||||
Para iniciar toda a infraestrutura:
|
||||
```bash
|
||||
./deploy.sh
|
||||
```
|
||||
*Este script detecta seu IP público, configura o ambiente e sobe os containers.*
|
||||
|
||||
### 2. Adicionar um Novo Site
|
||||
Todas as configurações de sites ficam na pasta `conf.d/`.
|
||||
|
||||
1. **Crie o arquivo de configuração**:
|
||||
Crie um arquivo `.conf` em `conf.d/` (ex: `meusite.com.br.conf`). Use um dos arquivos existentes como modelo.
|
||||
|
||||
**Modelo Básico (com SSL):**
|
||||
```nginx
|
||||
# Backend (para onde vai o tráfego)
|
||||
upstream meu_backend {
|
||||
server 192.168.1.10:8080;
|
||||
}
|
||||
|
||||
# Redirecionamento HTTP -> HTTPS
|
||||
server {
|
||||
listen 80;
|
||||
server_name meusite.com.br;
|
||||
include /etc/nginx/snippets/acme_challenge.conf; # Importante para SSL
|
||||
return 301 https://$host$request_uri;
|
||||
}
|
||||
|
||||
# Bloco HTTPS
|
||||
server {
|
||||
listen 443 ssl;
|
||||
http2 on;
|
||||
server_name meusite.com.br;
|
||||
|
||||
ssl_certificate /etc/nginx/ssl/meusite.com.br.crt;
|
||||
ssl_certificate_key /etc/nginx/ssl/meusite.com.br.key;
|
||||
|
||||
include /etc/nginx/snippets/ssl_params.conf;
|
||||
|
||||
location / {
|
||||
proxy_pass http://meu_backend;
|
||||
include /etc/nginx/includes/proxy_backend.conf;
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
2. **Aplique as alterações**:
|
||||
### 1. Implantar o Proxy (Portainer/Docker Compose)
|
||||
1. Certifique-se de que os arquivos `traefik.yml` e `dynamic_conf.yml` estão presentes.
|
||||
2. Crie o arquivo de certificados: `touch acme.json && chmod 600 acme.json`.
|
||||
3. Inicie os containers:
|
||||
```bash
|
||||
docker compose restart nginx-proxy
|
||||
docker compose up -d
|
||||
```
|
||||
*No reinício, o script de pre-flight validará o DNS e injetará configurações de SSL necessárias.*
|
||||
|
||||
### 3. Modificar Configurações Globais
|
||||
As configurações globais são modularizadas na pasta `snippets/`.
|
||||
### 2. Adicionar um Novo Site (Backend Externo)
|
||||
Edite o arquivo `dynamic_conf.yml` para adicionar novas rotas para servidores fora do Docker.
|
||||
|
||||
- **Rate Limiting**: Edite `snippets/rate_limit.conf` para ajustar os limites de requisições por segundo.
|
||||
- **Bloqueio de Bots**: Edite `snippets/security_maps.conf` para adicionar novos User-Agents à lista negra.
|
||||
- **Cache**: Edite `snippets/cache_zones.conf` para definir novas zonas ou tempos de cache.
|
||||
Exemplo de rota:
|
||||
```yaml
|
||||
http:
|
||||
routers:
|
||||
meu-site:
|
||||
rule: "Host(`meu-site.com.br`)"
|
||||
service: meu-servidor
|
||||
entryPoints: [websecure]
|
||||
tls: { certResolver: letsencrypt }
|
||||
services:
|
||||
meu-servidor:
|
||||
loadBalancer:
|
||||
servers:
|
||||
- url: "http://IP_DO_SERVIDOR"
|
||||
```
|
||||
|
||||
### 3.1. Modificar Regras do WAF (ModSecurity)
|
||||
O WAF agora utiliza uma estrutura modular de regras localizada na pasta `modsec_rules/`.
|
||||
- **Arquivos Específicos**: Regras para Gitea, Nextcloud, Exchange, Zabbix, etc. ficam em seus respectivos arquivos `.conf`.
|
||||
- **Global**: `global-exceptions.conf` contém apenas whitelists de rede interna.
|
||||
- **Aplicação**: Após editar qualquer regra, reinicie o container do WAF para aplicar:
|
||||
```bash
|
||||
docker compose restart modsecurity
|
||||
```
|
||||
> **Nota Técnica**: O arquivo `modsec.conf.template` na raiz é injetado no container durante o boot para contornar problemas de permissão e garantir o carregamento das regras customizadas.
|
||||
|
||||
### 4. Gerenciar Certificados SSL
|
||||
O sistema gerencia isso automaticamente, mas você pode intervir manualmente se necessário.
|
||||
|
||||
- **Verificar Validade**:
|
||||
Verifique os logs do startup para ver o status de todos os domínios:
|
||||
```bash
|
||||
docker compose logs nginx-proxy | grep "SSL"
|
||||
```
|
||||
|
||||
- **Forçar Renovação**:
|
||||
Se precisar renovar um certificado imediatamente:
|
||||
```bash
|
||||
docker compose exec nginx-proxy /scripts/renew_ssl.sh
|
||||
```
|
||||
|
||||
- **Reload sem Downtime (Recomendado)**:
|
||||
Para aplicar alterações de configuração (vhosts, SSL) sem derrubar conexões ativas:
|
||||
```bash
|
||||
./scripts/reload.sh
|
||||
```
|
||||
|
||||
### 5. Monitorar e Debugar
|
||||
|
||||
- **Verificar Status dos Containers**:
|
||||
```bash
|
||||
docker compose ps
|
||||
```
|
||||
|
||||
- **Ver Logs em Tempo Real**:
|
||||
```bash
|
||||
docker compose logs -f
|
||||
```
|
||||
|
||||
- **Verificar se o WAF (ModSecurity) bloqueou algo**:
|
||||
```bash
|
||||
docker compose logs modsecurity | grep "Access denied"
|
||||
```
|
||||
|
||||
- **Verificar Banimentos do Fail2ban**:
|
||||
```bash
|
||||
docker compose exec fail2ban fail2ban-client status nginx-badbots
|
||||
```
|
||||
### 3. Dashboard do Traefik
|
||||
Acesse o dashboard interno para verificar o status das rotas:
|
||||
- **URL**: `http://localhost:8080/dashboard/`
|
||||
|
||||
---
|
||||
|
||||
|
|
@ -145,94 +59,25 @@ O sistema gerencia isso automaticamente, mas você pode intervir manualmente se
|
|||
|
||||
```mermaid
|
||||
graph TD
|
||||
subgraph Internet
|
||||
Client[Cliente Externo]
|
||||
end
|
||||
|
||||
subgraph Host["Host Docker (Portainer)"]
|
||||
subgraph PathfinderStack["Stack: Pathfinder-Proxy<br/>Rede: 172.112.0.0/16"]
|
||||
WAF["ModSecurity WAF<br/>172.112.0.3<br/>:80, :443"]
|
||||
NGINX["nginx-proxy<br/>172.112.0.2<br/>:8080 interno"]
|
||||
F2B["fail2ban<br/>network: host"]
|
||||
end
|
||||
|
||||
subgraph HostNetwork["Rede Física do Host"]
|
||||
HostIP["host.docker.internal<br/>(gateway)"]
|
||||
end
|
||||
|
||||
subgraph OtherStacks["Outras Stacks Docker"]
|
||||
Container1["Container A<br/>172.111.0.x"]
|
||||
Container2["Container B<br/>172.113.0.x"]
|
||||
end
|
||||
end
|
||||
|
||||
subgraph ExternalServers["Servidores Externos"]
|
||||
Server254["10.10.253.254"]
|
||||
Server128["10.10.253.128<br/>Gitea"]
|
||||
end
|
||||
|
||||
Client -->|":80/:443"| WAF
|
||||
WAF -->|"proxy_pass :8080"| NGINX
|
||||
F2B -.->|"lê logs"| WAF
|
||||
F2B -.->|"lê logs"| NGINX
|
||||
Client[Cliente Externo] -->|":80 / :443"| Traefik
|
||||
|
||||
NGINX -->|"extra_hosts<br/>host-gateway"| HostIP
|
||||
NGINX -.->|"bridge network"| Container1
|
||||
NGINX -.->|"bridge network"| Container2
|
||||
HostIP -->|"roteamento"| Server254
|
||||
HostIP -->|"roteamento"| Server128
|
||||
|
||||
style WAF fill:#e74c3c,stroke:#c0392b,color:#fff
|
||||
style NGINX fill:#3498db,stroke:#2980b9,color:#fff
|
||||
style F2B fill:#27ae60,stroke:#1e8449,color:#fff
|
||||
style Server128 fill:#9b59b6,stroke:#8e44ad,color:#fff
|
||||
style Server254 fill:#9b59b6,stroke:#8e44ad,color:#fff
|
||||
style HostIP fill:#f39c12,stroke:#d68910,color:#fff
|
||||
style Container1 fill:#1abc9c,stroke:#16a085,color:#fff
|
||||
style Container2 fill:#1abc9c,stroke:#16a085,color:#fff
|
||||
subgraph DockerHost["Docker Host"]
|
||||
Traefik[Traefik Proxy]
|
||||
App1[Container A]
|
||||
App2[Container B]
|
||||
end
|
||||
|
||||
subgraph External["Rede Externa (LXC/VM)"]
|
||||
Gitea[Gitea Server]
|
||||
Zammad[Zammad Server]
|
||||
end
|
||||
|
||||
Traefik --> App1
|
||||
Traefik --> App2
|
||||
Traefik --> Gitea
|
||||
Traefik --> Zammad
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 📋 Sistemas e Servidores Configurados
|
||||
|
||||
Lista de todos os sistemas roteados pelo proxy, organizados por tipo de infraestrutura.
|
||||
|
||||
| Domínio | IP/Backend | Docker | VM | LXC | Descrição |
|
||||
|---------|------------|:------:|:--:|:---:|-----------|
|
||||
| `git.itguys.com.br` | 10.10.253.128 | ❌ | ❌ | ✅ | Gitea - Servidor Git |
|
||||
| `zammad.itguys.com.br` | 172.16.254.59 | ❌ | ❌ | ✅ | Zammad - Helpdesk |
|
||||
| `monitoramento.itguys.com.br` | 172.16.254.x | ❌ | ❌ | ✅ | Zabbix/Grafana |
|
||||
| `mimir.itguys.com.br` | 172.16.x.x | ❌ | ❌ | ✅ | Mimir - Métricas |
|
||||
| `windmill.grupopralog.com.br` | 172.16.253.103:8000 | ❌ | ❌ | ✅ | Windmill - Automação |
|
||||
| `katalog.itguys.com.br` | 172.16.x.x | ❌ | ❌ | ✅ | Katalog |
|
||||
| `verbocloud.itguys.com.br` | 172.16.253.13:11580 | ❌ | ❌ | ✅ | Nextcloud AIO |
|
||||
| `cloud.grupopralog.com.br` | 172.16.253.12 | ❌ | ❌ | ✅ | Nextcloud Pralog |
|
||||
| `srvoffice001.itguys.com.br` | 172.16.253.101 | ❌ | ✅ | ❌ | Exchange Server |
|
||||
| `business.itguys.com.br` | 172.16.121.13 | ❌ | ✅ | ❌ | Exchange OWA |
|
||||
| `vcenter.itguys.com.br` | 172.16.254.110:443 | ❌ | ✅ | ❌ | VMware vCenter |
|
||||
| `unifi.itguys.com.br` | 172.16.254.123:8443 | ❌ | ✅ | ❌ | UniFi Controller |
|
||||
| `workspace.itguys.com.br` | 172.16.121.2 | ❌ | ✅ | ❌ | Workspace Windows |
|
||||
| `vscode.itguys.com.br` | 172.16.x.x | ❌ | ❌ | ✅ | VS Code Server |
|
||||
| `telefonia.itguys.com.br` | 172.16.x.x | ❌ | ✅ | ❌ | Central Telefônica |
|
||||
| `proxy.itguys.com.br` | localhost | ✅ | ❌ | ❌ | Este proxy |
|
||||
| `itguys.com.br` | 172.16.x.x | ❌ | ✅ | ❌ | Site Principal |
|
||||
| `pralog.com.br` | 172.16.x.x | ❌ | ✅ | ❌ | Site Pralog |
|
||||
| `anatram.com.br` | 172.16.x.x | ❌ | ✅ | ❌ | Site Anatram |
|
||||
| `ferreirareal.com.br` | 172.16.x.x | ✅ | ❌ | ❌ | Site Ferreira Real |
|
||||
| `petytransportes.com.br` | 172.16.x.x | ❌ | ✅ | ❌ | Site Pety Transportes |
|
||||
| `solucionei.itguys.com.br` | 172.16.x.x | ❌ | ✅ | ❌ | Solucionei |
|
||||
| `rhema.itguys.com.br` | 172.16.x.x | ❌ | ✅ | ❌ | Rhema |
|
||||
| `integra.grupopralog.com.br` | 172.16.x.x | ❌ | ❌ | ✅ | Integração Pralog |
|
||||
| `ns1.itguys.com.br` | 172.16.x.x | ❌ | ❌ | ✅ | DNS Primário |
|
||||
| `ns2.itguys.com.br` | 172.16.x.x | ❌ | ❌ | ✅ | DNS Secundário |
|
||||
| `dns-primario.itguys.com.br` | 172.16.x.x | ❌ | ❌ | ✅ | DNS Admin |
|
||||
|
||||
> [!NOTE]
|
||||
> **Legenda:** Docker = Container Docker | VM = Máquina Virtual (VMware/Hyper-V) | LXC = Linux Container (Proxmox)
|
||||
>
|
||||
> IPs marcados como `172.16.x.x` precisam ser verificados nos arquivos de configuração individuais.
|
||||
|
||||
---
|
||||
|
||||
*Mantido por IT Guys*
|
||||
49
TODO.md
49
TODO.md
|
|
@ -1,49 +0,0 @@
|
|||
# Relatório de Diagnóstico e Pontos de Dor (Pain Points)
|
||||
|
||||
Este documento sumariza os problemas arquiteturais e técnicos identificados durante a tentativa de estabilizar o stack `nginx-pathfinder-proxy`. O objetivo é fornecer um contexto claro para um futuro Agente de IA simplificar a solução.
|
||||
|
||||
## 1. Arquitetura Excessivamente Complexa (Split Container)
|
||||
Atualmente, temos dois containers NGINX separados:
|
||||
1. **Frontend (`modsecurity`)**: Recebe a internet, faz WAF, termina SSL.
|
||||
2. **Backend (`nginx-proxy`)**: Recebe do WAF, faz roteamento, gerencia certificados (Certbot), roda scripts.
|
||||
|
||||
**Problemas Causados:**
|
||||
- **Inferno de Permissões (Permission Hell):** O Backend (onde roda o Certbot) gera certificados no volume compartilhado como `root`. O Frontend tenta ler esses arquivos e falha com `Permission denied` porque roda com outro UID/GID. Tentar corrigir com `chmod` é frágil e inseguro.
|
||||
- **Configuração Duplicada:** É preciso configurar o Nginx duas vezes. Uma no Frontend (para saber onde estão os certs) e uma no Backend (para saber como tratar a requisição na porta 8080).
|
||||
- **SSL "Ping-Pong":** O Backend gerencia a renovação, mas o Frontend é quem *usa* o certificado. Isso exige reload sincronizado em dois containers diferentes.
|
||||
|
||||
## 2. Problema do "Ovo e a Galinha" (SSL Bootstrap)
|
||||
- O NGINX **não sobe** se o arquivo de certificado não existir.
|
||||
- O Certbot **não gera** o certificado se o NGINX não estiver rodando (para responder o desafio HTTP-01).
|
||||
- **Solução Atual (Gambiarra):** Criamos um script complexo (`pre-flight.sh` + `renew_ssl.sh`) que gera certificados falsos (self-signed) só para o NGINX subir, e depois tenta baixar os reais. Isso adiciona muita lógica propensa a falhas.
|
||||
|
||||
## 3. Fragilidade de Deploy (Portainer / Docker)
|
||||
- **Mount Error:** O Portainer falha ao tentar montar arquivos de configuração (`modsec_conf/...`) que ainda não foram baixados pelo git no host.
|
||||
- **Solução Atual:** Tivemos que "assar" (bake) as configurações dentro da imagem Docker (`COPY conf.d ...`). Isso tira a agilidade de alterar uma config no git e dar deploy rápido; agora exige rebuild da imagem.
|
||||
|
||||
## 4. Scripts de Automação Frágeis
|
||||
- O script `pre-flight.sh` tenta fazer `git clone/pull` dentro do container. Isso gera erros de "Resource busy" quando tenta limpar pastas montadas via volume.
|
||||
- Lógica de `sed/grep` para ler arquivos `.conf` e achar domínios é suscetível a erros de sintaxe no arquivo de config.
|
||||
|
||||
---
|
||||
|
||||
# Recomendação de Simplificação (Para o Próximo Agente)
|
||||
|
||||
### Opção A: Single "Super" Container (Recomendada)
|
||||
Unificar tudo em um único container.
|
||||
- **Base:** Usar a imagem oficial com ModSecurity já compilado (ou compilar num multi-stage build).
|
||||
- **Benefício:** Resolve problemas de permissão (mesmo processo lê e escreve). Resolve problema de setup (um único serviço). Remove complexidade de rede (sem proxy pass interno desnecessário).
|
||||
|
||||
### Opção B: Caddy Server (Radical)
|
||||
Substituir NGINX + Certbot por **Caddy**.
|
||||
- **Benefício:** Caddy tem HTTPS automático (resolve o problema do Ovo/Galinha nativamente).
|
||||
- **WAF:** Existe plugin de WAF para Caddy (Coraza), mas exige validação se atende os requisitos de segurança do Oestepan.
|
||||
|
||||
### Opção C: NGINX Proxy Manager (GUI)
|
||||
Usar uma solução pronta como NGINX Proxy Manager.
|
||||
- Tem interface web.
|
||||
- Gerencia SSL sozinho.
|
||||
- Pode ser difícil integrar ModSecurity customizado.
|
||||
|
||||
### Resumo do Pedido de Refatoração
|
||||
> "Simplificar a infraestrutura eliminando a separação Frontend/Backend. Criar um container único que faça WAF + Proxy + SSL Management, eliminando scripts complexos de bootstrap e problemas de permissão de volume."
|
||||
|
|
@ -1,25 +0,0 @@
|
|||
{
|
||||
# Global Options
|
||||
email admin@oestepan.com.br
|
||||
# Enable Admin API for the watcher to trigger reloads
|
||||
admin :2019
|
||||
}
|
||||
|
||||
# Import dynamic sites
|
||||
import sites/*
|
||||
|
||||
# Default Site: Traccar GPS
|
||||
gps.oestepan.com.br {
|
||||
# Reverse Proxy to the backend service
|
||||
reverse_proxy host.docker.internal:8083 {
|
||||
# Trust original IPs
|
||||
header_up X-Real-IP {remote_host}
|
||||
header_up X-Forwarded-For {remote_host}
|
||||
header_up X-Forwarded-Proto {scheme}
|
||||
}
|
||||
|
||||
# Enable logging
|
||||
log {
|
||||
output file /var/log/caddy/gps.access.log
|
||||
}
|
||||
}
|
||||
15
deploy.sh
15
deploy.sh
|
|
@ -1,15 +0,0 @@
|
|||
#!/bin/bash
|
||||
set -e
|
||||
|
||||
echo "Deploying Caddy Proxy..."
|
||||
|
||||
# Pull latest code
|
||||
git pull
|
||||
|
||||
# Ensure containers are up
|
||||
docker compose up -d
|
||||
|
||||
# Force a reload just in case
|
||||
docker compose exec caddy caddy reload
|
||||
|
||||
echo "Deployment Complete."
|
||||
|
|
@ -1,21 +1,21 @@
|
|||
services:
|
||||
caddy:
|
||||
image: caddy:latest
|
||||
container_name: proxy_caddy
|
||||
traefik:
|
||||
image: traefik:v2.10
|
||||
container_name: traefik
|
||||
restart: always
|
||||
ports:
|
||||
- "80:80"
|
||||
- "443:443"
|
||||
- "8080:8080" # Dashboard Traefik (remover em produção se exposto)
|
||||
volumes:
|
||||
- ./caddy_core/Caddyfile:/etc/caddy/Caddyfile
|
||||
- ./sites:/etc/caddy/sites
|
||||
- caddy_data:/data
|
||||
- caddy_config:/config
|
||||
- caddy_logs:/var/log/caddy
|
||||
extra_hosts:
|
||||
- "host.docker.internal:host-gateway"
|
||||
- /var/run/docker.sock:/var/run/docker.sock:ro
|
||||
- ./traefik.yml:/etc/traefik/traefik.yml:ro
|
||||
- ./dynamic_conf.yml:/etc/traefik/dynamic_conf.yml:ro
|
||||
- ./acme.json:/acme.json
|
||||
networks:
|
||||
- proxy_network
|
||||
|
||||
volumes:
|
||||
caddy_data:
|
||||
caddy_config:
|
||||
caddy_logs:
|
||||
networks:
|
||||
proxy_network:
|
||||
external: false
|
||||
name: proxy_network
|
||||
|
|
@ -0,0 +1,16 @@
|
|||
http:
|
||||
routers:
|
||||
# Exemplo de Backend
|
||||
# backend-example:
|
||||
# rule: "Host(`site.itguys.com.br`)"
|
||||
# service: example-service
|
||||
# entryPoints:
|
||||
# - websecure
|
||||
# tls:
|
||||
# certResolver: letsencrypt
|
||||
|
||||
services:
|
||||
# example-service:
|
||||
# loadBalancer:
|
||||
# servers:
|
||||
# - url: "http://172.16.x.x"
|
||||
|
|
@ -0,0 +1,38 @@
|
|||
api:
|
||||
dashboard: true
|
||||
insecure: true
|
||||
|
||||
entryPoints:
|
||||
web:
|
||||
address: ":80"
|
||||
http:
|
||||
redirections:
|
||||
entryPoint:
|
||||
to: websecure
|
||||
scheme: https
|
||||
|
||||
websecure:
|
||||
address: ":443"
|
||||
|
||||
providers:
|
||||
docker:
|
||||
endpoint: "unix:///var/run/docker.sock"
|
||||
exposedByDefault: false
|
||||
file:
|
||||
filename: /etc/traefik/dynamic_conf.yml
|
||||
watch: true
|
||||
|
||||
log:
|
||||
level: INFO
|
||||
format: json
|
||||
|
||||
accessLog:
|
||||
format: json
|
||||
|
||||
certificatesResolvers:
|
||||
letsencrypt:
|
||||
acme:
|
||||
email: suporte@itguys.com.br
|
||||
storage: acme.json
|
||||
httpChallenge:
|
||||
entryPoint: web
|
||||
Loading…
Reference in New Issue