切换管理域名至共享80和443入口并更新验收记录
This commit is contained in:
parent
ea271b3c7d
commit
6173e0679a
@ -1,24 +1,12 @@
|
||||
# 部署前替换管理域名、证书路径和端口占位符，不能直接加载本文件。
|
||||
# 管理域名由部署环境决定，不在应用代码中固定。
|
||||
server {
|
||||
listen __HTTP_PORT__ default_server;
|
||||
listen [::]:__HTTP_PORT__ default_server;
|
||||
server_name _;
|
||||
return 404;
|
||||
}
|
||||
# 与其他站点共用监听端口，不重复声明 default_server。
|
||||
|
||||
server {
|
||||
listen __HTTP_PORT__;
|
||||
listen [::]:__HTTP_PORT__;
|
||||
server_name __MANAGEMENT_HOST__;
|
||||
return 308 https://__MANAGEMENT_HOST__:__HTTPS_PORT__$request_uri;
|
||||
}
|
||||
|
||||
server {
|
||||
listen __HTTPS_PORT__ ssl default_server;
|
||||
listen [::]:__HTTPS_PORT__ ssl default_server;
|
||||
server_name _;
|
||||
ssl_reject_handshake on;
|
||||
return 308 __MANAGEMENT_ORIGIN__$request_uri;
|
||||
}
|
||||
|
||||
server {
|
||||
|
||||
@ -1,6 +1,26 @@
|
||||
# Linux 生产流程测试记录
|
||||
|
||||
## 当前结论：管理入口接续验收
|
||||
## 当前结论：标准域名入口
|
||||
|
||||
2026-09-18 00:01 起，按用户确认改为复用已开放的 80/443，通过 Nginx 域名站点转发。以下结果覆盖旧 8003/8004 方案的公网入口阻塞，不改变管理证书续期等尚未完成事项的结论。
|
||||
|
||||
- [✓] `http://web.apmmk.cn` 返回 308，跳转到 `https://web.apmmk.cn`，保留路径及查询参数。
|
||||
- [✓] `https://web.apmmk.cn` 转发到 `https://127.0.0.1:9004`，入口和上游均严格验证证书。
|
||||
- [✓] 应用 `server.proxy_https_port` 已改为 443；未改变上游监听端口、域名或数据库。
|
||||
- [✓] 独立 Linux 主机 `8.137.23.95` 通过正常公网 DNS 访问 `/readyz` 返回 200、`status=ready`，HTTP 跳转同样通过。未使用指定解析、隧道或跳过证书验证。
|
||||
- [✓] 新域名地址的桌面浏览器登录、刷新、退出及 401 检查通过。此项使用独立 SSH 隧道和严格 TLS，证据目录 `.runtime/apmmk-browser-20260918-standard/`，与上一项公网协议测试分开记录。
|
||||
- [✓] 原 8003/8004 已无监听；9004 仍仅回环监听。此前 UFW 放行规则暂保留，本轮没有删除规则或文件。
|
||||
- [✓] 共享 Nginx 主配置和 Smail 站点内容未变；Smail HTTPS 返回 200、TLS 验证结果为零。
|
||||
|
||||
备份位于 `/var/backups/scert-standard-20260918-0005-v2`，含受限配置备份及原站点。只修改 Scert 站点，不新增重复默认站点。首次切换时立即探测收到 SNI 拒绝，脚本自动恢复旧配置；随后加入平滑重载后的有界就绪等待，第二次切换成功。Scert 为加载对外端口配置经过重启，旧会话需重新登录；未重启同机 Smail、MySQL 或 Nginx 主进程。
|
||||
|
||||
完成时 Scert PID `579364`、重启计数零；Nginx 主进程 `578671`、Smail `574584`、MySQL `549584` 均与本轮开始一致。Nginx 配置语法检查通过，1440/1024 桌面测试无横向溢出、损坏图片或页面脚本错误。
|
||||
|
||||
Windows 本机直接访问仍出现 HTTPS 握手错误及 HTTP `Server: Beaver` 403，与独立 Linux 公网测试结果不同；该本地网络路径尚未定位，不宣称所有客户端网络均验证通过。本轮没有更改本机代理设置。
|
||||
|
||||
部署模板已改为共用端口的命名虚拟主机，外部完整地址使用 `__MANAGEMENT_ORIGIN__` 占位符，默认测试值不再包含 8004。管理证书自动续期与双层 TLS 更新、真实目标机推送及完整故障回退仍需后续完成，本次仅完成用户要求的标准入口调整。
|
||||
|
||||
## 历史结论：管理入口接续验收
|
||||
|
||||
以下为 2026-09-17 23:16 至 23:35 的接续结果，覆盖后文早期阶段关于域名未确认、初始化未完成和入口未部署的旧状态。不能将各阶段的通过项混为完整生产验收。
|
||||
|
||||
|
||||
@ -11,13 +11,14 @@
|
||||
| 占位符 | 本次测试值 |
|
||||
| --- | --- |
|
||||
| `__MANAGEMENT_HOST__` | `web.apmmk.cn` |
|
||||
| `__HTTP_PORT__` | `8003` |
|
||||
| `__HTTPS_PORT__` | `8004` |
|
||||
| `__MANAGEMENT_ORIGIN__` | `https://web.apmmk.cn` |
|
||||
| `__HTTP_PORT__` | `80` |
|
||||
| `__HTTPS_PORT__` | `443` |
|
||||
| `__UPSTREAM_PORT__` | `9004` |
|
||||
| `__FULLCHAIN_PATH__` | `/ssl-scert-acceptance/web.apmmk.cn/single/20260917-V1.0/fullchain.pem` |
|
||||
| `__PRIVATE_KEY_PATH__` | `/ssl-scert-acceptance/web.apmmk.cn/single/20260917-V1.0/key.pem` |
|
||||
|
||||
应用配置应保持 `server.https_mode=proxy`、回环监听 `127.0.0.1:9004`，并设置 `server.proxy_https_port=8004`。修改管理域名时，应同步调整应用域名、DNS、证书、Nginx 的 `server_name`、跳转地址和 `proxy_ssl_name`，不能只更改浏览器入口。
|
||||
应用配置应保持 `server.https_mode=proxy`、回环监听 `127.0.0.1:9004`，并设置 `server.proxy_https_port=443`。修改管理域名时，应同步调整应用域名、DNS、证书、Nginx 的 `server_name`、跳转地址和 `proxy_ssl_name`，不能只更改浏览器入口。使用非标准 HTTPS 端口时，`__MANAGEMENT_ORIGIN__` 必须包含该端口。
|
||||
|
||||
## 部署流程
|
||||
|
||||
@ -25,20 +26,20 @@
|
||||
2. 备份配置并核对权限。使用模板生成独立站点，逐项替换英文占位符；检查没有残留占位符。
|
||||
3. 确认证书覆盖管理域名且未过期，私钥受限。上游必须通过公共 CA 与主机名校验，不允许关闭 `proxy_ssl_verify`。
|
||||
4. 执行 `nginx -t`，成功后才执行 `systemctl reload nginx`。检查失败时保留失败文件用于审查，但从有效配置加载目录移出，不重载服务。
|
||||
5. 在主机防火墙及云安全组分别放行所需的 TCP 入口。本次为 `8003`、`8004`；管理后台应按实际使用范围限制来源。不要将上游 `9004` 对公网开放。
|
||||
5. 复用已开放的 TCP 80/443，由 Nginx 按域名分流，不需要另开 8003/8004。管理后台应按实际使用范围限制来源。不要将上游 `9004` 对公网开放。
|
||||
6. 核对 `systemctl is-enabled Scert.service nginx.service`。启用开机自启不等于完成主机重启演练。
|
||||
|
||||
`Host $http_host` 用于保留外部非标准端口。HTTP 跳转目标使用固定的配置域名，不使用客户端 Host 作为跳转目标；未知 HTTP 域名返回 404，未知 TLS SNI 拒绝握手。
|
||||
`Host $http_host` 用于保留客户端域名及显式端口。HTTP 跳转目标使用固定配置，不使用客户端 Host 作为跳转目标。共享 Nginx 的默认拒绝站点应统一配置；本模板不重复声明 `default_server`，避免与其他站点冲突。当前服务器已有未知 HTTP 域名返回 404、未知 TLS SNI 拒绝握手的默认站点。
|
||||
|
||||
## 验收流程
|
||||
|
||||
服务器内先验证 Nginx 与上游，不跳过 TLS 校验：
|
||||
|
||||
```sh
|
||||
curl --noproxy '*' --resolve web.apmmk.cn:8004:127.0.0.1 \
|
||||
--fail --show-error https://web.apmmk.cn:8004/readyz
|
||||
curl --noproxy '*' --resolve web.apmmk.cn:8003:127.0.0.1 \
|
||||
--head 'http://web.apmmk.cn:8003/login?acceptance=1'
|
||||
curl --noproxy '*' --resolve web.apmmk.cn:443:127.0.0.1 \
|
||||
--fail --show-error https://web.apmmk.cn/readyz
|
||||
curl --noproxy '*' --resolve web.apmmk.cn:80:127.0.0.1 \
|
||||
--head 'http://web.apmmk.cn/login?acceptance=1'
|
||||
```
|
||||
|
||||
预期分别是就绪响应和 308 跳转，跳转保留路径及查询参数。随后必须从独立公网主机与真实浏览器验证，不使用 `--resolve`、SSH 隧道或跳过证书校验掩盖入口故障。
|
||||
@ -49,4 +50,4 @@ curl --noproxy '*' --resolve web.apmmk.cn:8003:127.0.0.1 \
|
||||
|
||||
## 剩余门槛
|
||||
|
||||
2026 年 9 月 17 日的具体结果见 `Linux生产流程测试记录.md`。本次 Nginx 站点内网验证成功，但独立 Linux 主机访问两个公网端口超时，尚需核对云安全组或上游网络。管理证书自动续期、更新后的双层 TLS 生效、故障回退以及真实目标机部署均需继续完成，不能将 `readyz=200` 作为完整验收结论。
|
||||
2026 年 9 月 18 日改为标准 80/443 后，独立 Linux 主机公网 HTTPS 就绪与 HTTP 跳转均已通过，旧 8003/8004 不再监听。具体结果见 `Linux生产流程测试记录.md`。管理证书自动续期、更新后的双层 TLS 生效、故障回退以及真实目标机部署仍需继续完成，不能将入口可达作为完整生产验收结论。
|
||||
|
||||
Loading…
Reference in New Issue
Block a user