如何配置 Nginx 和 Node 以使用 SSL？答案

【问题标题】：How to configure Nginx and Node to use SSL?如何配置 Nginx 和 Node 以使用 SSL？
【发布时间】：2021-03-02 05:58:55
【问题描述】：

我第一次尝试部署 Node 应用程序，我对 ssl 配置有些疑问，因为这不是我的专业领域。

我正在使用 Sequelize 连接到托管的 postgres 数据库，每次我尝试提出请求时，都会收到“证书链中的自签名证书”错误。这是我的 Sequelize 连接函数：

const sequelize = new Sequelize({
  database: process.env.DB_NAME,
  username: process.env.DB_USERNAME,
  password: process.env.DB_PASSWORD,
  host: process.env.DB_HOST,
  port: process.env.DB_PORT,
  dialect: "postgres",
  dialectOptions: {
    ssl: true
  }
});

我搜索了这个问题，发现了 2 个可能的解决方案：1）在连接选项中包含证书，或 2）添加 NODE_TLS_REJECT_UNAUTHORIZED=0 作为环境变量。关于第一个解决方案，我还没有找到关于如何使用 Sequelize 执行此操作的示例，文档甚至没有提到这一点。使用第二个解决方案它工作得很好，但我知道它不应该在生产环境中使用，因为它会禁用 Node SSL 验证。

但是，我还使用 Nginx 作为反向代理，并使用 certbot 安装了 LetsEncrypt SSL 证书，它自动将我的 nginx 服务器块配置为使用 SSL 验证。这是我的 Nginx 配置：

server {
  location / {
    proxy_pass http://localhost:3000;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection 'upgrade';
    proxy_set_header Host $host;
    proxy_cache_bypass $http_upgrade;
  }
  listen [::]:443 ssl ipv6only=on; # managed by Certbot
  listen 443 ssl; # managed by Certbot
  ssl_certificate /etc/letsencrypt/live/{mydomain}/fullchain.pem; # managed by Certbot
  ssl_certificate_key /etc/letsencrypt/live/{mydomain}/privkey.pem; # managed by Certbot
  include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
  ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot
}

如果我理解正确，由于 nginx 已经在处理 SSL 验证，我认为可以执行第二种解决方案，因为 Nginx 只是在处理好之后通过 http 将请求“重定向”到我在 localhost:3000 上运行的 Node 应用程序SSL部分的。我对这个假设是否正确？如果没有，配置 Sequelize 以包含证书并避免“证书链中的自签名证书”错误的正确方法是什么？

我认为这个具体问题以前没有被问过，如果其中一些问题看起来“显而易见”，我很抱歉，这是我第一次这样做。感谢您的帮助。

【问题讨论】：

标签： node.js express ssl nginx sequelize.js

【解决方案1】：

我在 Node.js 中有多个服务器，我从未将它们用于 https。我把所有与 ssl 相关的东西都委托给了 nginx，就像你做的一样，虽然有点简单。

你的猜测是正确的。 Nginx 以纯文本形式将所有请求传递给您的服务器，并将所有响应包装到 TLS 记录中。它运行得非常快，并且 certbot 管理我所有的证书。真是一种解脱；）

我的典型配置如下所示：

server {
  listen 443 ssl;
  listen [::]:443 ssl;
  server_name your.server.domain;

  location / {
    proxy_set_header Host      $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_pass                 http://localhost:3000/;
  }

  ssl_certificate /etc/letsencrypt/live/your.server.domain/fullchain.pem; # managed by Certbot
  ssl_certificate_key /etc/letsencrypt/live/your.server.domain/privkey.pem; # managed by Certbot
}

# Redirect from HTTP to HTTPS for all servers
server {
  listen 80;
  listen [::]:80;
  return 301 https://$host$request_uri;
}

【讨论】：