====== Container Nginx-Proxy et Letsencrypt-Compagnon ======

Container servant de proxy web à tous les autres containers nécessitant une interface web accessible.

===== Forcer la demande d'un certificat =====
  * Lorsque le site web d'un container persiste a ne pas s'afficher en HTTPS
  * Se connecter au container nginx-proxy-letsencryp : ''docker exec -it nginx-proxy-letsencrypt /bin/bash''
  * Dans le dossier ''/app/'' lancer la commande suivante en adaptant votre domaine : 
    * Ex. : ''%% ./letsencrypt_service example.silene.eu,www.example.silene.eu %%''
    * Note : plusieurs domaines ou sous-domaines peuvent être indiqué en les séparant par une virgule. Le premier sera le principal.
    * ATTENTION : les domaines avec wildcard "*" ne sont pas encore supporté.

===== Partager les logs Nginx avec l'hôte =====

<note tip>Une amélioration possible serait de créer un utilisateur ''nginx'' ou ''www-data'' sur l'hôte puis d'utiliser les identifiant de cet utilisateur dans le container nginx-proxy. Cela permettrait d'avoir des droits cohérents entre le container et l'hôte pour les fichiers de logs.</note>

  * Pourquoi ?
    * Afin de pouvoir faire fonctionner correctement le service Fail2ban de l'hôte qui se base sur les logs Nginx
  * Problèmes :
    * transférer les IP des clients dans le container Nginx et éviter de voir dans les logs Nginx l'IP de la Gateway du réseau Docker
    * activer correctement Logrotate pour que Nginx présent dans le container gère correctement la création de nouveaux fichiers de log : propriété correcte et écriture des logs dans le nouveau fichier.
  
  * Sur l'hôte : 
    * Créer un dossier ''/var/log/nginx/'' avec : <code bash>mkdir /var/log/nginx/</code>
      * Donner les bons droits : <code bash>chown root:adm /var/log/nginx/ ; chmod 640 /var/log/nginx/</code>
    * Créer les fichiers par défaut avec : <code bash>touch /var/log/nginx/access.log /var/log/nginx/error.log</code>
      * Donner les bons droits aux fichiers de base. C'est important car nous utilisons ''copytruncate'' dans la conf Logrotate: 
        * Se connecter au service nginx-proxy : <code bash>docker exec -it nginx-proxy bash</code>
        * Regarder l'id de l'utilisateur Nginx avec la commande ''id''.
        * Puis modifier la propriété des fichiers de log : <code bash>chown 101:adm *.log</code>
    * Ajouter le paquet ''logrotate'' avec : <code bash>apt install logrotate</code>
    * Créer un nouveau fichier de conf logrotate : <code bash> touch /etc/logrotate.d/nginx</code>
      * Y placer le contenu suivant (vérifier les chemins utilisés !) : <code bash>
/var/log/nginx/*.log {
    daily
    missingok
    rotate 400
    compress
    delaycompress
    notifempty
    su root adm
    # User "nginx" in container has an id of 101
    #create 0640 101 adm
    # To avoid permission issues with directory and files shared between host and container: see copytruncate
    copytruncate
    dateext
    dateyesterday
    dateformat .%Y-%m-%d
    sharedscripts
    postrotate
        cd /home/admin/docker/proxy/ \
        && /usr/bin/docker compose kill -s USR1 nginx-proxy
    endscript
}
</code>
    * Modifier le fichier ''docker-compose.yml'' de la stack ''proxy'' dans ''/home/admin/docker/'' en tant qu'utilisateur ''admin'' :
      * le service ''nginx-proxy'' doit contenir :<code yaml>network_mode: "host"</code>
        * Le mode "hôte" permet d'obtenir les IP réelles des clients dans les logs Nginx avec la variable ''$remote_addr''
      * commenter la section ''ports:'' sinon l'erreur ''! nginx-proxy Published ports are discarded when using host network mode'' apparaîtra.
      * Ajouter dans la section ''volumes:'' l'entrée suivante :<code yaml>
volumes:
  - /var/log/nginx/:/var/log/nginx/
</code>
    * Modifier le fichier ''nginx.conf'' avec : <code nginx>
http {
    # Enabling request time
    log_format enhanced-fmt '$remote_addr $host $remote_user [$time_local] '
        '"$request" $status $body_bytes_sent '
        '"$http_referer" "$http_user_agent" '
        'rt="$request_time" uct="$upstream_connect_time" uht="$upstream_header_time" urt="$upstream_response_time" '
        'gzr="$gzip_ratio" ';
    access_log /var/log/nginx/access.log enhanced-fmt;
    error_log /var/log/nginx/error.log;
}
</code> 
  * Relancer la stack ''proxy'' avec : <code bash>docker compose down && docker compose up -d</code>
  * Vérifier que les logs sont écris dans le fichier ''/var/log/nginx/access.log''
  * Tester la config Logrotate avec : <code bash>logrotate -f /etc/logrotate.d/nginx</code>