Docker + Nginx Problem?

ravenheart_ggg

@Cardiac sagte in Docker + Nginx Problem?:

wenn du den kram hinter nem TLS termination proxy laufen laesst, fehlt dir der --proxy-headers switch fuer uvicorn

In ordnung ist das nicht, es sei denn du willst uvicorn als prod server benutzen.

Vielen Dank für das Feedback. Könntest du den Punkt noch etwas ausführlicher erläutern? Ich bin noch relativ unerfahren im Aufsetzen und sehr dankbar über neue Denkanstöße und wann immer ich was dazu lernen kann.

proxy_buffering off solte raus?

Das mit dem Connection habe ich nicht ganz verstanden.

docker run -d -p 0.0.0.0:8080:8080 heisst "forward port 8080 from containerX to port 8080 on all interfaces, including WAN and blow a big fat fucking hole into the firewall"

mit der konfiguration kannst du uvicorn direkt ueber dein WAN auf port 8080 erreichen und umgehst dabei jeden proxy der dazwischen haengt.

@ravenheart_ggg sagte in Docker + Nginx Problem?:

proxy_buffering off solte raus?

Gehe ich mal stark von aus. RTFM?

@ravenheart_ggg sagte in Docker + Nginx Problem?:

Das mit dem Connection habe ich nicht ganz verstanden.

der Connection header is ein nuance, die nur relevanz besitzt wenn du tatsaechlich ein keepalive zum upstream hast. Abgeshen davon ist die directive in deiner konfiguration sinnfrei, denn nginx nimmt by default http 1.1 fuer upstream connections. also gibts da nichts zum upgraden.

ravenheart_ggg

heisst "forward port 8080 from containerX to port 8080 on all interfaces, including WAN and blow a big fat fucking hole into the firewall"

mit der konfiguration kannst du uvicorn direkt ueber dein WAN auf port 8080 erreichen und umgehst dabei jeden proxy der dazwischen haengt.

Ok das klingt nicht so gut. Also muss ich doch eine andere Konfig finden, nehme ich mal stark an.
Was wieder zur Ursprungsfrage mit dem Bad Gateway führt?

Ich hatte doch schon geschrieben, wenn er es richtig macht, braucht er gar kein expose port (außer die des Proxys).

@ravenheart_ggg sagte in Docker + Nginx Problem?:

Ok das klingt nicht so gut. Also muss ich doch eine andere Konfig finden, nehme ich mal stark an.
Was wieder zur Ursprungsfrage mit dem Bad Gateway führt?

?
Ich habe dir doch schon gesagt wie du das konfigurieren musst?

@Cardiac sagte in Docker + Nginx Problem?:

Dockerfile

CMD ["uvicorn", "main:app", "--host", "0.0.0.0", "--proxy-headers", "--port", "8080", "--workers", "4"]

docker run

docker run -d -p 127.0.0.1:8080:8080 -v /home/user/certs:/api/certs:ro myapi:latest

@Fragender sagte in Docker + Nginx Problem?:

Ich hatte doch schon geschrieben, wenn er es richtig macht, braucht er gar kein expose port (außer die des Proxys).

das ist quatsch, denn er hat nginx auf dem host laufen, nicht im container.

@Cardiac sagte in Docker + Nginx Problem?:

das ist quatsch, denn er hat nginx auf dem host laufen, nicht im container.

deshalb soll er doch auch alles als Container starten... (hatte ich auch geschrieben)

Edit: Aber ich kenne mich mit uvicorn nicht aus... nie verwendet...

@Fragender ist halt auch quatsch, denn sobald du mehr als ein compose oder container projekt auf dem host laufen lassen willst, duplizierst du entweder nginx container und darfst dann manuelles load balancing via compose networks machen, oder du klebst halt wieder nen reverse proxy davor (auf dem host - welch wunder) der dann die ganzen einzelnen nginx container reverse proxies proxied.

ist nicht ganz sinnvoll. solange nginx als proxy benutzt wird, und nicht traefik mit auto-discovery ist es 1000x einfacher nginx selbst auf dem docker host laufen zu lassen, und configs fuer jedes compose oder container direkt zu bauen, anstatt das auch in den container zu wurschteln.

hat auch nichts mit (g)uvicorn zutun. ist halt einfach ne eigenschaft des reverse proxies

firefly

@ravenheart_ggg sagte in Docker + Nginx Problem?:

Ich starte mit
docker run -d -p 8080:8080 -v /home/user/certs:/api/certs:ro myapi:latest

Jetzt sehe ich das erst. Und das zeigt, dass meine Vermutung vermutlich richtig ist, dass uvicorn schon selbst https macht und nicht http. Denn du gibst informationen über ein ssl zertifikat in den container mit rein (-v /home/user/certs:/api/certs:ro)

Daher ist die angabe von http:// in der nginx config für proxy_pass natürlich falsch.
Mit den angaben von Cardiac, wie der docker container gestartet werden soll, sollte der proxy_pass part in der nginx config für api.example.com so aussehen:

proxy_pass https://127.0.0.1:8080;

Wenn die kommunikation zwischen nginx und uvicorn unverschlüsselt erfolgen soll, so müsstest du uvicorn so umkonfigurieren dass es kein SSL/TLS aktiviert.

weia....das hab ich ja voll verrafft. schmeiss dein TLS geraffel von uvicorn einfach weg, lass nginx TLS termination proxy spielen und sprech mit dem upstream http. wie die beiden anderen schon gesagt haben macht es absolut keinen sinn ne neue TLS session zwischen docker host und docker container aufbauen zu lassen.

ravenheart_ggg

Ich versuche, dem Thread zu folgen und habe nun folgende Anpassungen vorgenommen.

Ich starte docker mit --ip 172.18.0.2. Diese IP nutze ich dann zu Starten von uvicorn als auch in nginx.
Weiterhin habe ich das Volume aus Docker rausgeworfen und lasse nginx die Verschlüsselung übernehmen.

Kommt das jetzt in Etwa hin?