Docker-compose Setup mit nginx reverse proxy

Auf einem einzelnen Server wollten wir mehrere von einander unabhängige Projekte mit docker-compose betreiben, die nach außen über einen reverse proxy erreichbar sind.

Bei Hinzufügen eines weiteren Projektes sollte der reverse proxy weder manuell konfiguriert werden müssen noch manuell neu gestartet werden.

Stattdessen sollte der reverse proxy das neue Projekt automatisch erkennen und dieses unter einem im Projekt konfigurierbaren vhost Namen bereitstellen.
Erreicht haben wir das durch Einsatz des docker images jwilder/nginx-proxy.

Die Verzeichnisstruktur des Servers im home-Verzeichnis des SSH-Benutzers /home/myuser sieht dabei so aus:

/frontproxy
   docker-compose.yml
   /certs
      meinedomain.de.crt
      meinedomain.de.key

/project1.meinedomain.de
   docker-compose.yml

/project2.meinedomain.de
   docker-compose.yml

...

/default.vhost
   docker-compose.yml

Die Konfiguration des reverse proxy in der Datei /home/myuser/frontproxy/docker-compose.yml sieht wie folgt aus:

version: '2'
services:
  frontproxy:
  image: jwilder/nginx-proxy:latest
  container_name: frontproxy
  restart: always
  environment:
    DEFAULT_HOST: default.vhost
  ports:
    - "80:80"
    - "443:443"
  volumes:
    - ./certs:/etc/nginx/certs
    - /var/run/docker.sock:/tmp/docker.sock:ro

Der Container wird nun gestartet mittels:

cd /home/myuser/frontproxy
docker-compose up -d

Dadurch erstellt docker ein Netzwerk mit dem Namen frontproxy_default.

Nun kann man ein beliebiges neues Projekt hinzufügen mit einer geeigneten docker-compose Konfiguration, die zur Kommunikation mit dem Frontproxy folgende Direktiven beinhalten muss:

version: '2'
services:
  <someservice>:
  image: <some-image>
  restart: always
  networks:
    - frontproxy_default
    - default
  environment:
    - VIRTUAL_HOST=project1.meinedomain.de
 networks:
   frontproxy_default:
     external: true

Entscheidend ist hier das Hinzufügen des Netzwerks frontproxy_default als externes Netzwerk. Extern bedeutet hierbei, dass es nicht innerhalb dieses docker-compose setups erstellt wurde, sondern durch das docker-compose setup des frontproxys.

Auf diese Weise lassen sich beliebig viele Projekte hinzufügen. Sobald diese mit docker-compose up -d gestartet wurden, erkennt der frontproxy anhand der Umgebungsvariable VIRTUAL_HOST, dass er Anfragen an diesen virtual host zu diesem Docker-Container weiterleiten muss.

Als Port wird automatisch der Port verwendet, der durch das Image des Projekts im Dockerfile via EXPOSE angegeben wurde. Mittels einer weiteren Umgebungsvariable VIRTUAL_PORT kann man diesen auch spezifizieren.
Interessant an diesem Setup ist, dass sich beliebig viele Projekte hinzufügen lassen, die alle auf dem selben Port (i.d.R. Port 80 für HTTP) laufen. Man muss also nicht manuell dafür sorgen, dass es keine Port-Überschneidungen gibt.

Wichtig ist, dass bei der Inbetriebnahme dieses Setups zuerst der frontproxy gestartet wird. Denn dieser erstellt das Netzwerk frontproxy_default, das alle weiteren Projekte benötigen.

Bei einem Neustart des Servers wird diese Reihenfolge beibehalten, so dass docker automatisch durch das „restart:always“ zuerst den frontproxy startet und danach die Projekte.


SSL-Zertifikate

Wenn man die Projekte als Subdomains von meinedomain.de anlegt, dann kann man mit einem einzigen SSL-Wildcard-Zertifikat für *.meinedomain.de alle Projekte auch gleich per SSL ausliefern lassen.
Möchte man unterschiedliche Domainnamen verwenden, so kann man im Verzeichnis /home/myuser/frontproxy/certs/ für jeden Domainnamen ein entsprechend benanntes Zertifikat und den zugehörigen Key ablegen.


Default vhost

Die Umgebungsvariable DEFAULT_HOST in der Konfiguration des Frontproxys gibt an, welcher Inhalt ausgeliefert werden soll, wenn der Frontproxy mit einem Hostnamen aufgerufen wird, für den kein registrierter vhost existiert. Macht man hier keine Angabe, so würde der Inhalt des ersten registrierten vhosts ausgegeben, was nicht immer optimal ist. Insbesondere kann das zum Problem werden, wenn mal ein vhost wegen eines Ausfalls des betreffenden Docker Containers nicht erreichbar ist. Wir haben daher als default.vhost einen docker Container mit einem einfachen Webserver eingerichtet, der einfach eine statische HTML-Seite ausliefert, die darauf hinweist, dass der vhost entweder unbekannt oder aktuell nicht erreichbar ist.