Tag: httpd

使用容器(docker)自架N8N

其他, 技術

使用容器 docker 自架N8N社群版非常簡單，但功能有所限制；雲端付費版每月最低20歐元，可解鎖更多功能，建議先使用雲端版14天試用看看，不符合期待再考慮自架。自架方式有很多種，容器方式為首選。

我的環境是:
1. 容器主機
RockyLinux 9.4，docker ce 27.03，postgres sql server 17
2. 代理伺服器主機 apache httpd 2.4
3. dns n8n.test.com

1. 建立docker-compose.yaml檔案
紅字部分須注意斟酌修改

version: "3"
services:
  n8n:
    image: n8nio/n8n
    restart: always
    ports:
      - "5678:5678"
    environment:
      - N8N_BASIC_AUTH_ACTIVE=true
      - N8N_BASIC_AUTH_USER
      - N8N_BASIC_AUTH_PASSWORD
      - N8N_HOST=n8n.test.com
      - N8N_PORT=5678
      - N8N_PROTOCOL=http
      - NODE_ENV=production
      - WEBHOOK_URL=https://n8n.test.com/
      - DB_TYPE=postgresdb
      - DB_POSTGRESDB_DATABASE=n8n
      - DB_POSTGRESDB_HOST=postgres主機ip
      - DB_POSTGRESDB_PORT=5432
      - DB_POSTGRESDB_USER=使用者
      - DB_POSTGRESDB_PASSWORD=密碼
      - DB_POSTGRESDB_SCHEMA=public
      - TZ=Asia/Taipei
      - GENERIC_TIMEZONE=Asia/Taipei
      - N8N_RUNNERS_ENABLED=true
      - N8N_ENFORCE_SETTINGS_FILE_PERMISSIONS=true
      - N8N_EMAIL_MODE=smtp
      - N8N_SMTP_HOST=mail.hlmt.com.tw
      - N8N_SMTP_PORT=587
      - N8N_SMTP_USER=郵件帳號
      - N8N_SMTP_PASS=郵件密碼
      - N8N_SMTP_SENDER=sender@test.com
      - N8N_SMTP_SSL=false
      - N8N_SMTP_STARTTLS=true
      - EXPRESS_TRUST_PROXY=true
      - N8N_PROXY_HOPS=1
      - N8N_PUSH_BACKEND=sse  
# 若使用httpd proxy透過web socket請改成N8N_PUSH_BACKEND=websocket  
    volumes:
      - .n8n:/home/node/.n8n


經過測試這版v1.86版，有權限問題，需要先手動建立.n8n，使用者設定為 1000
# mkdir -p .n8n
# chown -R 1000:1000 .n8n

2. 啟用n8n容器

執行 https://n8n.test.com 之後，就可以設定主人了

安裝完畢 ***社群版限制一個帳號，若郵件設定正確，可以再邀請別人加入。

實作一個玩玩看-檢查咖啡偶文章，有新的就通知

一開始先新增RSS Feed trigger：每天晚上查看一次咖啡偶網站 https://kafeiou.pw/feed


中間增加過濾器 filter，過濾當天是否有新的文章，若有就發email通知。

左邊使用java script，左邊變數名稱可以用拖拉的，把第一關卡日期拉進去，再調整日期格式。
右邊則為目前系統日期。
左右相同才會觸發右邊發郵件通知
左邊抓取RSS Feed Trigger從kafeiou獲得地的日期，右邊是當天

測試一下，大功告成。

另外在步驟一有提到使用web socket的方式進行反向代理參數設定，須修改docker-compose.yaml檔案
請改為N8N_PUSH_BACKEND=websocket 。httpd config 設定參考如下：

<VirtualHost *:443>
  ServerName n8n.test.com

  ErrorLog /var/log/httpd/ssl_error_log
  TransferLog /var/log/httpd/ssl_access_log

  SSLEngine On
  SSLCertificateFile /etc/letsencrypt/live/n8n.test.com/cert.pem
  SSLCertificateKeyFile /etc/letsencrypt/live/n8n.test.com/privkey.pem
  SSLCACertificateFile /etc/letsencrypt//live/n8n.test.com/fullchain.pem

  SSLProxyEngine On
  ProxyRequests Off
  ProxyPreserveHost On
  RequestHeader set X-Forwarded-Proto "https"
  RewriteEngine On
  RewriteCond %{HTTP:Upgrade} =websocket [NC]
  RewriteRule /(.*) ws://容器主機IP:5678/$1 [P,L]
  RewriteCond %{HTTP:Upgrade} !=websocket [NC]
  RewriteRule /(.*) http://容器主機IP:5678/$1 [P,L]
  <Location />
    Order allow,deny
    Allow from all
  </Location>
</VirtualHost>

Leave a comment , , , , ,

Gitea無法觸發webhook

技術

我在Gitea上面設定達成某個條件，觸發webhook執行

但是出現以下錯誤

 ...webhook can only call allowed HTTP servers (check your webhook.ALLOWED_HOST_LIST setting)

需要允許webhook執行遠端的http程式

#修改app.ini
[root@firewall crontab]# docker exec -it gitea bash
14c18c2bd6c0:/# vi data/gitea/conf/app.ini
#加上
[webhook]
ALLOWED_HOST_LIST = 192.168.1.0/24

修改完成重開gitea就能使用了

Leave a comment , , , ,

感謝”Linux技術手扎”對於apache http調校說明

技術

長期以來，我「HTTP反向代理伺服器」只使用「Apache Http」， 理由簡單：習慣了；然而，新興的代理伺服器總讓我有種「雖簡單卻很艱難」的感受，雖說採用新服務器是進步的象徵，但我考量自己管理的網站達數十個，非常在意網站穩定性，若貿然決定更換新「反向代理服務器」，則需要很大的勇氣，誰都無法知道被代理的服務器會不會水土不服，造成災難，因而作罷。

一般來說，apache httpd運作很穩定，沒事就不要動設定；但是我總是遇到代理服務器重啟很慢的問題，原本也沒有多想，訓練自己忍耐力XD，直到遇見”Linux技術手扎“，網站中有兩篇文章，對於apache http效能，防止阻斷攻擊(DoS)有詳細說明。我拜讀之後，受用不盡，因此也節錄下來，作為自己快速參考用。

1、解決apache http重啟慢問題

vi /usr/lib/systemd/system/httpd.service
[Service]
...
KillMode=none
systemctl daemon-reload

2、防止阻斷攻擊(Dos)

vi /etc/httpd/conf/httpd.conf
...
RequestReadTimeout header=20-40,MinRate=500 body=20,MinRate=500
systemctl restart http

想知道修改原因、運作原理，請參考網站。

Leave a comment , , , , , ,

很困擾的httpd反向代理與容器(container)之間的問題

其他

httpd 反向代理很好用, 一個ip就能搞定無數個網站, 某種角度來看, 也兼具資安效果, 可以阻擋使用ip進行網站攻擊的效果.

可是很困擾的是, 當我每三個月需要 renew 免費的 let’s encrypt 證書, 證書是renew成功了, 但是該檔案對應到容器的服務,有些並不會跟著改用新的證書, 就出問題了.

以mail server為例子, postfix與dovecot服務, 都會咬住舊版的證書, 而不使用新的, 重開mail server又要公告, 只能半夜偷偷重開, 真是困擾阿

Leave a comment , , , , , , , , , ,

Rocky Linux 安裝httpd 反向代理

技術

真是被selinux搞死,但,咱們工程師, 就是要勇往直前

RL9 安裝httpd後, 若要啟用proxy , reverse 功能 , 目前我遇到要改兩點

  • 修改httpd設定, 把心跳這一行mark起來
    vi /etc/httpd/conf.modules.d/00-proxy.conf
#LoadModule lbmethod_heartbeat_module modules/mod_lbmethod_heartbeat.so
  • selinux 啟用連線功能
sudo setsebool -P httpd_can_network_connect 1
#2023/6/20 否則會出現 Permission denied: AH00957 錯誤
Leave a comment , , , , , ,

tomcat 8 預設welcome檔案所在目錄

技術

在tomcat server裡, 程式專案預設放在 webapps 目錄底下, 假設專案為 guacamole.
程式會放在 webapps/guacamole , 網址則為 http(s)://x.x.x.x/guacamole

若想直接輸入 http(s)://x.x.x.x , 自動引導入到 http(s)://x.x.x.x/guacamole , 則必須在 webapps 建立ROOT目錄, 以及在ROOT目錄下, 建立 index.html , index.htm, 或 index.jsp 這三種任一種welcome 檔案.

docker 容器的酪梨醬(guacamole 1.4.0 版本), tomcat 設定檔案在 /home/guacamole/tomcat 底下, 請建立一個含以下內容的 tomcat/webapps/ROOT/index.html 檔案即可.

<!DOCTYPE html>
<html>
  <head>
    <meta http-equiv="refresh" content="0; url='https://x.x.x.x/guacamole'" />
  </head>
  <body>
    <p>Please follow <a href="https://x.x.x.x/guacamole">this link</a>.</p>
  </body>
</html>
Leave a comment , , ,

httpd reverse proxy 需要注意的設定

技術

一般來說有些需要保護的web service,可以躲到httpd proxy背後, 好處如下:

  1. 比較安全, 尤其是老舊的web service,
  2. 統一由httpd proxy 保管SSL證書很方便

這些在背後的service 通常只要讓httpd proxy 知道該service本地端的ip&port 就能存取, 並且晉升https的行列,非常方便.
基本上調整如下:

 <VirtualHost *:443>
 ServerName  xxx.yyy.com
 ErrorLog /var/log/httpd/ssl_error_log1
 TransferLog /var/log/httpd/ssl_access_log1
 
 SSLEngine On
 SSLProxyEngine On
 SSLCertificateFile /etc/letsencrypt/live/xxx.yyy.com/cert.pem
 SSLCertificateKeyFile /etc/letsencrypt/live/xxx.yyy.com/privkey.pem
 SSLCACertificateFile /etc/letsencrypt/live/xxx.yyy.com/fullchain.pem
 

 ProxyPass / http://zzz.yyy.com.tw:80/
 ProxyPassReverse / http://zzz.yyy.com:80/
 </VirtualHost>

以上設定若是遇到網址是％2F, 通常都會出問題,
這是slash html encode的問題, apache預設不支援該編碼, 因此可以加上 AllowEncodeSlashes 與 nocanon

<VirtualHost *:443>
AllowEncodedSlashes on
ProxyPass / http://zzz.yyy.com.tw:80/ nocanon
ProxyPassReverse / http://zzz.yyy.com:80/ nocanon
</VirtualHost>

Leave a comment , , , ,

使用docker安裝nextcloud

技術

新版安裝方式請到這裡查看

——————-以下是舊版安裝方式——————-

  1. 建立volume
  2. 設定mariadb data
  3. 執行
  4. 設定trusted_domain

建立volume

 docker volume create nextcloud-www
 docker volume create nextcloud-app
 docker volume create nextcloud-config
 docker volume create nextcloud-data
 docker volume create nextcloud-theme

確認 mariadb 資料庫伺服器是否準備好

執行docker指令

docker run -d -p <對應的port>:80 -v nextcloud-www:/var/www/html -v nextcloud-app:/var/www/html/custom_apps -v nextcloud-config:/var/www/html/config -v nextcloud-data:/var/www/html/data -v nextcloud-theme:/var/www/html/themes/mycustom --link <docker資料庫名稱>:mysql -e MYSQL_DATABASE=nextcloud -e MYSQL_USER=root -e MYSQL_PASSWORD=<密碼> -e MYSQL_HOST=mysql --restart=always --name nextcloud nextcloud

若有apache或是nginx作為反向proxy, 將https帶到nextcloud, 需設定trust_domain(網站會提醒)

httpd設定

# for CalDav
RewriteEngine On 
RemoteIPHeader X-Forwarded-For
RewriteRule ^/\.well-known/carddav https://%{SERVER_NAME}/remote.php/dav/ [R=301,L] RewriteRule ^/\.well-known/caldav https://%{SERVER_NAME}/remote.php/dav/ [R=301,L] 
# form redirect
<VirtualHost *:80>
    ServerName <server name>
    Redirect permanent / https://<server name>/
</VirtualHost>

<VirtualHost *:443> 
  # form security
  <IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
  </IfModule>
</VirtualHost>

nextcloud config設定

若使用httpd proxy 的方式需要加入以下設定, 以免登入轉圈圈無法進入頁面, 修改 config.php 檔案

'overwritehost' => '<主機名稱>',
'overwriteprotocol' => 'https',

執行command

 docker exec --user www-data <CONTAINER_ID> php occ 
例入遇到上傳檔案失敗, 或是一些檔案錯誤可執行
docker exec --user www-data <container id> php occ files:scan --all
Leave a comment , , , , , ,
1 2