Как стать автором
Поиск
Написать публикацию
Обновить

Развертывание Spring Boot приложения с помощью Nginx, Let's Encrypt и Docker Compose

Время на прочтение7 мин
Количество просмотров23K
Веб-разработка*Java*Nginx*DevOps*Серверное администрирование*
Из песочницы

Введение

Привет, Хабр! В своей первой статье я бы хотел поделиться опытом в развертывании Spring Boot приложения. Но для начала небольшое отступление, которое должно ответить на вопросы зачем и почему.

Недавно я столкнулся с задачей разработать Telegram бота. Казалось бы, что тут сложного? Ну раз надо, то разрабатывай, где тут могут быть сложности? Но вот беда, ранее я не сталкивался с задачей развертывания проекта, тем более было много вопросов касаемо получения SSL сертификата так как Telegram API работает только с HTTPS протоколом. Увы после долгих поисков я так и не нашел статьи, которая ответила бы на все вопросы, поэтому процесс деплоя затянулся из-за того, что пришлось собирать весь материал по кусочкам. Теперь, когда у меня получилось разобраться с этой проблемой, я бы хотел вам рассказать как это сделать, чтобы сэкономить вам время и бонусом 2000 рублей за SSL сертификат)

Репозиторий с финальным проектом вы можете найти здесь — тык. Для удобства сделал 3 ветки, о смысле которых вы поймете после прочтения)

И так, начнем!

Подготовим сервер

Для своих тестов я использовал самый простой облачный сервер на Ubuntu от Timeweb.

Первое, что нам потребуется сделать — это подготовить сервер, а именно:

  1. Создать нового пользователя с привилегией администратора

  2. Установить Docker и Docker Compose

  3. Установить git и авторизоваться

Если будет интересно могу позже написать отдельную статью как подготовить сервер

Клонируем приложение

Для тестов я сделал простое Spring Boot приложение и чтобы было интересней использовал не H2, а PostgreSQL + Flyway.

mkdir spring-boot-deploy-with-nginx-example
cd spring-boot-deploy-with-nginx-example/
git clone git@github.com:Mark1708/simple-spring-boot-app.git test-deploy

В этом проекте вы можете найти заготовленный Dockerfile. Совершенно простой без multistage, но нам этого и не надо для простого тестового проекта.

FROM maven:3.6.3-jdk-11 AS builder
COPY ./ ./
RUN mvn clean package -DskipTests
FROM openjdk:11.0.7-jdk-slim
COPY --from=builder /target/simple-spring-boot-app-0.0.1-SNAPSHOT.jar /app.jar
EXPOSE 8080
ENTRYPOINT ["java","-jar","/app.jar"]

Настроим веб сервер

Использовать будем Nginx, поэтому настроим минимальную конфигурацию и двинем дальше.

Для начала создадим директорию: mkdir -p nginx/conf.d

Затем откроем файл через vim: vim nginx/conf.d/app.conf

Никогда не думал, что vim может понравиться, однако пока занимался деплоем проекта моё мнение поменялось

Полезные команды которые пригодились:

- :set paste для копирования без авто отступов

- :set number для нумерации строк

И напишем серверный блок:

server {
 listen 80;
 listen [::]:80;

 charset utf-8;
 access_log off;

 root /var/www/html;
 server_name domen.ru www.domen.ru;

 location / {
     proxy_pass http://simple-spring-boot-app:8080;
     proxy_set_header Host $host:$server_port;
     proxy_set_header X-Forwarded-Host $server_name;
     proxy_set_header X-Real-IP $remote_addr;
     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 }

 location /static {
     access_log   off;
     expires      30d;

     alias /simple-spring-boot-app/static;
 }

 location ~ /.well-known/acme-challenge {
     allow all;
     root /var/www/html;
 }
}

И да, не забываем заменить domen.ru на ваш настоящий домен, либо можете его приобрести и не париться?

Инициализация базы данных

База данных кто такой??

Пока никто и это можно исправить создав файл init.sql в папке init.

mkdir init && vim init.sql

Остается лишь записать в него волшебное слово Пожалуйста на языке запросов SQL.

CREATE USER myuser WITH PASSWORD 'pass';
CREATE DATABASE app;
GRANT ALL PRIVILEGES ON DATABASE app TO myuser;

Куда нам без Docker Compose?

Конечно, никуда, поэтому им мы и займемся! И да, тут начинается веселье, так что пристегнитесь?

Откроем файл docker-compose.yml: vim docker-compose.yml

И напишем в нем небольшое сочинение на тему "Как автор статьи не отдохнул летом"

version: '3'
 
services:
  nginx:
    container_name: nginx
    image: nginx:1.13
    restart: always
    ports:
      - 80:80
    volumes:
      - ./nginx/conf.d:/etc/nginx/conf.d
      - web-root:/var/www/html
      - certbot-etc:/etc/letsencrypt
      - certbot-var:/var/lib/letsencrypt
    networks:
      - app-network    

  certbot:
    image: certbot/certbot
    depends_on:
      - nginx
    container_name: certbot
    volumes:
      - certbot-etc:/etc/letsencrypt
      - certbot-var:/var/lib/letsencrypt
      - web-root:/var/www/html
    command: certonly --webroot --webroot-path=/var/www/html --email pochta@gmail.com --agree-tos --no-eff-email --staging -d domen.ru -d www.domen.ru

  postgresql:
    container_name: postgresql
    image: postgres:12.2-alpine
    environment:
      POSTGRES_USER: ${POSTGRES_USER}
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
    ports:
      - "5432:5432"
    restart: always
    volumes:
      - ./init:/docker-entrypoint-initdb.d/
    networks:
      - app-network    

  app:
    container_name: simple-spring-boot-app
    build:
      context: ./simple-spring-boot-app
      dockerfile: Dockerfile
    environment:
      - "DB_HOST=postgresql"
      - "POSTGRES_USER=${POSTGRES_USER}"
      - "POSTGRES_PASSWORD=${POSTGRES_PASSWORD}"
      - "SERVER_PORT=8080"
    expose:
      - "8080"
    depends_on:
      - nginx
      - postgresql
    restart: always
    networks:
      - app-network

volumes:
  certbot-etc:
  certbot-var:
  web-root:        

networks:
  app-network:
    driver: bridge

Не забываем поменять доменное имя domen.ru на ваше, а также было бы неплохо заменить почту. PS: строка 27

Если у вас получилось что-то такое, то считайте, что за сочинение у вас твердая пятерка!

Мы создали 4 контейнера, названия которых достаточно ясно описывают их назначение, за исключением одного. Именно certbot вам и будет экономить 2000 ₽ в год, за что низкий поклон Let’s Encrypt.

И да, чуть не забыл. Мы же хотим, чтобы у нас было всё безопасно?

Поэтому создаём чудесный файл .env.

vim .env

И пишем туда свой небезопасный пароль для базы данных.

# db
POSTGRES_USER=postgres
POSTGRES_PASSWORD=postgres

На старт, внимание, марш!

С этого этапа обратного пути нет!

Так что настройтесь на веселье

Интерпретируем для docker заголовок этого этапа на его языке:

docker-compose up -d --build

Если все прошло по плану, то перейдя по ссылке - "http://domen.ru/person", вы увидите ответ нашего приложения. А введя команду docker-compose ps -a вы увидите статус UP у всех контейнеров кроме certbot, у которого должен быть статус Exit 0.

Маловероятно, но может получиться так, что что-то из перечисленного выше у вас не сработает. Скорее всего вы ошиблись при переписывании или не обратили внимание на мою просьбу заменить доменное имя или почту на свои.

Тогда вы можете почитать логи с помощью команды - docker-compose logs service_name

Также может случиться так, что память на сервере закончится и тогда придется подчистить закрома Docker. Вот команды которые мне пригодились:

1. docker system df - total info - чтобы посмотреть используемую память

2. docker container ls -a / docker rm <container_id> - чтобы посмотреть все контейнеры / почистить

3. docker image ls -a / docker rmi <image_id> - чтобы посмотреть все имеджи / почистить

4. docker system prune - снести под нолик все, что было в докере

Для внимательных ребят можно двинуться дальше и проверить правильно ли были смонтированы ваши учетные данные для получения сертификата:

docker-compose exec nginx ls -la /etc/letsencrypt/live

Если все прошло успешно, то вы увидите файлы: README и domen.ru

Вперед, только вперед

В предыдущем этапе мы сделали тестовый запрос на получения SSL сертификата и теперь мы можем сделать настоящий, поменяв пару букв в нашем сочинении: vim docker-compose.yml

...
  certbot:
    image: certbot/certbot
    depends_on:
      - nginx
    container_name: certbot
    volumes:
      - certbot-etc:/etc/letsencrypt
      - certbot-var:/var/lib/letsencrypt
      - web-root:/var/www/html
    command: certonly --webroot --webroot-path=/var/www/html --email pochta@gmail.com --agree-tos --no-eff-email --force-renewal -d domen.ru -d www.domen.ru
...

Обратите внимание, мы заменим --staging на --force-renewal

После перезапустим certbot с помощью команды - docker-compose up --force-recreate --no-deps certbot

Вы должны увидеть поздравления с получением сертификата и остается дело за малым.

Сделаем финальную конфигурацию

Остается сделать последний шаг, чтобы увидеть эти заветные 5 букв HTTPS!

  1. Останавливаем nginx: docker-compose stop nginx

  2. Создаём директорию для ключа Diffie-Hellman: mkdir dhparam

  3. Генерируем ключ:

    sudo openssl dhparam -out /home/myuser/spring-boot-deploy-with-nginx-example/dhparam/dhparam-2048.pem 2048

  4. Меняем файл конфигурации nginx: vim nginx/conf.d/app.conf

    server {
        listen 80;
        listen [::]:80;
        server_name domen.ru www.domen.ru;

        location ~ /.well-known/acme-challenge {
          allow all;
          root /var/www/html;
        }

        location / {
                rewrite ^ https://$host$request_uri? permanent;
        }
}

server {
        listen 443 ssl http2;
        listen [::]:443 ssl http2;
        server_name domen.ru www.domen.ru;

        server_tokens off;

        ssl_certificate /etc/letsencrypt/live/domen.ru/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/domen.ru/privkey.pem;

        ssl_buffer_size 8k;

        ssl_dhparam /etc/ssl/certs/dhparam-2048.pem;

        ssl_protocols TLSv1.2 TLSv1.1 TLSv1;
        ssl_prefer_server_ciphers on;

        ssl_ciphers ECDH+AESGCM:ECDH+AES256:ECDH+AES128:DH+3DES:!ADH:!AECDH:!MD5;

        ssl_ecdh_curve secp384r1;
        ssl_session_tickets off;

        ssl_stapling on;
        ssl_stapling_verify on;
        resolver 8.8.8.8;

        location / {
                try_files $uri @simple-spring-boot-app;
        }

        location @simple-spring-boot-app {
                proxy_pass http://simple-spring-boot-app:8080;
                add_header X-Frame-Options "SAMEORIGIN" always;
                add_header X-XSS-Protection "1; mode=block" always;
                add_header X-Content-Type-Options "nosniff" always;
                add_header Referrer-Policy "no-referrer-when-downgrade" always;
                add_header Content-Security-Policy "default-src * data: 'unsafe-eval' 'unsafe-inline'" always;
                # add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
                # enable strict transport security only if you understand the implications
        }

        root /var/www/html;
        index index.html index.htm index.nginx-debian.html;
}

    Вы уже знающие, но всё же напомню, что надо менять domen.ru на свой домен)

  5. Вносим пару изменений в docker-compose.yml: vim docker-compose.yml

    Добавляем порт 443 и том dhparam

    ...
nginx:
    container_name: nginx
    image: nginx:1.13
    restart: always
    ports:
      - 80:80
      - 443:443  # <======
    volumes:
      - ./nginx/conf.d:/etc/nginx/conf.d
      - web-root:/var/www/html
      - certbot-etc:/etc/letsencrypt
      - certbot-var:/var/lib/letsencrypt
      - dhparam:/etc/ssl/certs   # <======
    networks:
      - app-network
... 

volumes:
  certbot-etc:
  certbot-var:
  web-root:
  dhparam:   # <======
    driver: local
    driver_opts:
      type: none
      device: /home/myuser/spring-boot-deploy-with-nginx-example/dhparam/
      o: bind

  6. И вот она последняя команда, после которой вы выдохните и нальёте себе чего-нибудь покрепче (я про чай конечно), чтобы отметить

    docker-compose up -d --force-recreate --no-deps nginx

Поздравляю!!! Теперь с чувством победителя отправляемся по ссылочке -"https://domen.ru/person"

То, что стоит знать, прежде чем считать, что вы стали гуру по деплою

  1. SSL сертификаты от Certbot штука не вечная. Их надо обновлять каждые 90 дней, а лучше для подстраховки каждые 60 дней

  2. Certbot паренек не сильно общительный так как не любит чтобы его беспокоили больше чем 5 раз в неделю (пришел к этому опытным путем пока разбирался в чем ошибка, а про 5 дней вычитал на просторах интернета). Поэтому аккуратней с обновлением сертификата)

  3. Процесс обновления сертификата можно автоматизировать с помощью cron или systemd и такого срипта:

    #!/bin/bash

/usr/local/bin/docker-compose -f /home/myuser/spring-boot-deploy-with-nginx-example/docker-compose.yml run certbot renew --dry-run \
&& /usr/local/bin/docker-compose -f /home/myuser/spring-boot-deploy-with-nginx-example/docker-compose.yml kill -s SIGHUP nginx

  4. Да да, теперь вы гуру, но это не предел совершенства

Заключение

Вот и всё, надеюсь эта статья сэкономила вам время, а может даже подняла настроение!)

Для меня это был интересный опыт, все-таки первая статья, а не сухие заметки в README на будущее.

Буду рад советам в комментариях, так как для меня эта тема в новинку и уверен есть много моментов для улучшения.

Большое спасибо за то, что прочитали! Надеюсь, что скоро руки доберутся до написания новых публикаций.

Теги:
Хабы:
Всего голосов 6: ↑6 и ↓0+6
Комментарии10
5
Карма
0
Рейтинг
Марк @Mark1708

Java Backend Разработчик

Отправить сообщение

Публикации

Истории

Работа

Системный администратор
91 вакансия
Java разработчик
267 вакансий
DevOps инженер
27 вакансий

Ближайшие события

16 января
Вебинар «Практикум Cloud.ru Evolution: знакомство с облаком»
Онлайн
Больше событий в календаре
Разработка
25 – 26 апреля
IT-конференция Merge Tatarstan 2025
Казань
Больше событий в календаре
Разработка
Маркетинг
Другое

Ваш аккаунт

Разделы

Информация

Услуги

Техническая поддержка
© 2006–2024, Habr