web-dev-qa-db-ja.com

httpリクエストをhttps（nginx）にリダイレクトする方法

Httpリクエストをhttpsにリダイレクトするようにnginxを設定する方法を指示する多くの質問とガイドがあるようです。多くは時代遅れであるか、間違っているだけです。

# MANAGED BY PUPPET

upstream gitlab {
  server unix:/home/git/gitlab/tmp/sockets/gitlab.socket;
}

# setup server with or without https depending on gitlab::gitlab_ssl variable
server {
  listen *:80;
  server_name gitlab.localdomain;
  server_tokens off;
  root /nowhere;
  rewrite ^ https://$server_name$request_uri permanent;
}
server {
  listen *:443 ssl default_server;
  server_name gitlab.localdomain;
  server_tokens off;
  root /home/git/gitlab/public;

  ssl                           on;
  ssl_certificate               /etc/ssl/certs/ssl-cert-snakeoil.pem;
  ssl_certificate_key           /etc/ssl/private/ssl-cert-snakeoil.key;
  ssl_protocols                 SSLv3 TLSv1 TLSv1.1 TLSv1.2;
  ssl_ciphers                   AES:HIGH:!ADH:!MDF;
  ssl_prefer_server_ciphers     on;

  # individual nginx logs for this gitlab vhost
  access_log  /var/log/nginx/gitlab_access.log;
  error_log   /var/log/nginx/gitlab_error.log;

  location / {
    # serve static files from defined root folder;.
    # @gitlab is a named location for the upstream fallback, see below
    try_files $uri $uri/index.html $uri.html @gitlab;
  }

  # if a file, which is not found in the root folder is requested,
  # then the proxy pass the request to the upsteam (gitlab puma)
  location @gitlab {
    proxy_read_timeout 300; # https://github.com/gitlabhq/gitlabhq/issues/694
    proxy_connect_timeout 300; # https://github.com/gitlabhq/gitlabhq/issues/694
    proxy_redirect     off;

    proxy_set_header   X-Forwarded-Proto $scheme;
    proxy_set_header   X-Forwarded-Ssl   on;

    proxy_set_header   Host              $http_Host;
    proxy_set_header   X-Real-IP         $remote_addr;

    proxy_pass http://gitlab;
  }
}

設定を変更するたびに再起動しましたが、まだhttp://192.168.33.10にアクセスしたときにしか[nginxへようこそ]ページが表示されません。一方、https://192.168.33.10は完全に機能します。

Nginxがまだhttpリクエストをhttpsにリダイレクトしないのはなぜですか？

次の設定も試しました

  listen *:80;
  server_name <%= @fqdn %>;
  #root /nowhere; 
  #rewrite ^ https://$server_name$request_uri? permanent; 
  #rewrite ^ https://$server_name$request_uri permanent;
  #return 301 https://$server_name$request_uri;
  #return 301 http://$server_name$request_uri;
  #return 301 http://192.168.33.10$request_uri;
  return 301 http://$Host$request_uri;

ログ

tailf /var/log/nginx/access.log
192.168.33.1 - - [22/Oct/2013:03:41:39 +0000] "GET / HTTP/1.1" 304 0 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.8; rv:24.0) Gecko/20100101 Firefox/24.0"
192.168.33.1 - - [22/Oct/2013:03:44:43 +0000] "GET / HTTP/1.1" 200 133 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.8; rv:24.0) Gecko/20100101 Firefox/24.0"

tailf /var/log/nginx/gitlab_error.lob
2013/10/22 02:29:14 [crit] 27226#0: *1 connect() to unix:/home/git/gitlab/tmp/sockets/gitlab.socket failed (2: No such file or directory) while connecting to upstream, client: 192.168.33.1, server: gitlab.localdomain, request: "GET / HTTP/1.1", upstream: "http://unix:/home/git/gitlab/tmp/sockets/gitlab.socket:/", Host: "192.168.33.10"

リソース
https://www.nginx.com/resources/wiki/start/topics/tutorials/config_pitfalls/
nginxリダイレクトの作成方法
nginxでSSLを強制またはリダイレクトする方法
nginx ssl redirect
Nginx＆Https Redirection
https://www.tinywp.in/301-redirect-wordpress/
nginxでSSLを強制またはリダイレクトする方法

nginxsslhttpsgitlab
4
spuder

問題を特定しました。

/ etc/hostsに誤って設定されたエントリがあった

127.0.0.1 gitlab.localdomain gitlab

次のように変更するとすぐに、httpsリダイレクトが機能し始めました

192.168.33.10 gitlab.localdomain gitlab

結論として、これは実際の構文です。

server {
  listen 80;
  server_name gitlab.localdomain;
  server_tokens off;
  return 301 https://$Host$request_uri;


}
server {
  listen 443 ssl default_server;
  server_name gitlab.localdomain;
  server_tokens off;
  root /home/git/gitlab/public;
  ssl                           on;
  ssl_certificate               /etc/ssl/certs/ssl-cert-snakeoil.pem;
  ssl_certificate_key           /etc/ssl/private/ssl-cert-snakeoil.key;
  ssl_protocols                 SSLv3 TLSv1 TLSv1.1 TLSv1.2;
  ssl_ciphers                   AES:HIGH:!ADH:!MDF;
  ssl_prefer_server_ciphers     on;
…

注
リダイレクトは、URLを名前で呼び出す場合にのみ機能し、IPに移動した場合はリダイレクトされません。

7
spuder

http-to-https-redirectsを確実にするための2つのこと

  • hTTPS-セクションで、 HSTS-Header _>を有効にします。これにより、ブラウザが今後のリクエストをHTTPSのみで送信するようになります

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";

  • あなたのhttp-セクションで：return 301 https://$server_name$request_uri;（最速のアプローチ）または書き直し（遅い）

    server {
  listen 80;
  server_name _;
  server_tokens off;

  return 301 https://$Host$request_uri;

    }

4
that guy from over there