标签：部署 ca 笔记 server pem key -- Docker docker

服务器环境搭建

nacos镜像

使用宝塔Docker管理器直接拉起nacos环境并运行

注意：在同一台服务器中，nacos只对内网才能注册，图中172.17.0.2是内网地址，在多台服务器中需要跨ip注册服务需要百度自行学习，本次部署使用同一台服务器部署。
启动命令

//加内存限制启动
docker  run \
--name nacos -d \
-p 8848:8848 \
--privileged=true \
--restart=always \
-e JVM_XMS=32m \
-e JVM_XMX=128m \
-e JVM_XMN=32m \
-e JVM_MS=32m \
-e JVM_MMS=128m \
-e MODE=standalone \
-e PREFER_HOST_MODE=hostname \
nacos/nacos-server:latest

//不加内存限制
docker run -d --name nacos -p 8848:8848 -e PREFER_HOST_MODE=hostname -e MODE=standalone nacos/nacos-server

RabbitMQ镜像

拉起RabbitMQ镜像并运行

//拉取镜像
docker pull rabbitmq
//部署容器
  docker run -d --hostname my-rabbit --name rabbit -p 15672:15672 -p 5672:5672 rabbitmq

开启可视化界面https://blog.csdn.net/ruoshuiyx/article/details/128305746
修改密码

docker exec -it 容器id /bin/bash
输入命令开启可视化
rabbitmq-plugins enable rabbitmq_management
#查看用户列表
rabbitmqctl list_users
#修改密码
rabbitmqctl change_password guest 'Newpassword'

注意：项目部署最好也使用内部ip访问rabbitmq

Redis

可以使用宝塔一键集成Redis，也可以Docker搭建环境Redis，

步骤：
docker安装redis：https://blog.csdn.net/weixin_45821811/article/details/116211724
redis外网连接：https://blog.csdn.net/zhoumengshun/article/details/112862448
注意：外网连接需要修改redis连接密码，不然会被攻击

本地配置

利用idea插件连接服务器的docker

注意连接服务器docter必须使用钥密验证，不能直连，服务器会被侵入。

idea连接ca证书步骤：https://blog.csdn.net/qq_41946543/article/details/104159687
可以直接用我的脚本

新建文件夹 auto.sh
终端命令 sh auto.sh
去文件夹/etc/docker
导出我们需要的文件ca.pem,cert.pem,key.pem

证书自动脚本，全新可用

# !/bin/bash

# 一键生成TLS和CA证书

# Create : 2023-08-03
# Update : 2023-08-03
# @Autor : madou

# 服务器ip名
SERVER="服务器ip"
# 密码
PASSWORD="密码"
# 国家
COUNTRY="CN"
# 省份
STATE="sc"
# 城市
CITY="cd"
# 机构名称
ORGANIZATION="madou"
# 机构单位
ORGANIZATIONAL_UNIT="madou"
# 邮箱
EMAIL="[email protected]"

echo "生成文件完成"
#切换到生产密钥的目录
cd /etc/docker 
# 生成CA密钥
#生成ca私钥(使用aes256加密)
openssl genrsa -aes256 -passout pass:$PASSWORD  -out ca-key.pem 4096
#生成ca证书，填写配置信息
openssl req -new -x509 -passin "pass:$PASSWORD" -days 365 -key ca-key.pem -sha256 -out ca.pem -subj "/C=$COUNTRY/ST=$STATE/L=$CITY/O=$ORGANIZATION/OU=$ORGANIZATIONAL_UNIT/CN=$SERVER/emailAddress=$EMAIL"

#生成server证书私钥文件
openssl genrsa -out server-key.pem 4096
#生成server证书请求文件
openssl req -subj "/CN=$SERVER" -sha256 -new -key server-key.pem -out server.csr

sh -c 'echo "subjectAltName = IP:139.155.130.108,IP:0.0.0.0" > extfile.cnf'
sh -c 'echo "extendedKeyUsage=serverAuth " >> extfile.cnf'

#使用CA证书及CA密钥以及上面的server证书请求文件进行签发，生成server自签证书
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$PASSWORD" -CAcreateserial  -out server-cert.pem  -extfile extfile.cnf

#生成client证书RSA私钥文件
openssl genrsa -out key.pem 4096
#生成client证书请求文件
openssl req -subj '/CN=client' -new -key key.pem -out client.csr

sh -c 'echo "extendedKeyUsage=clientAuth" > extfile-client.cnf'
#生成client自签证书（根据上面的client私钥文件、client证书请求文件生成）
openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem  -passin "pass:$PASSWORD" -CAcreateserial -out cert.pem  -extfile extfile-client.cnf

#更改密钥权限
chmod 0400 ca-key.pem key.pem server-key.pem
#更改密钥权限
chmod 0444 ca.pem server-cert.pem cert.pem
#删除无用文件
rm client.csr server.csr
echo "生成文件完成"

记得去docker配置文件修改信息

ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
替换
ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/etc/docker/ca.pem --tlscert=/etc/docker/server-cert.pem --tlskey=/etc/docker/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock

根据博客流程重启docker

systemctl daemon-reload 
systemctl restart docker

service docker restart

idea连接

连接完成后配置docker插件

配置文件部署环境

建三个配置文件，分别为dev本地环境，prod部署环境，和主环境

开启配置文件环境

当本地运行会选择dev，打包部署会选择prod
将prod中nacos，redis，rabbitmq，mysql的信息配置正确

//application.yml
spring:
  profiles:
    active: dev

//application-dev.yml
spring:
  config:
    activate:
      on-profile: 
      - dev

//application-prod.yml
spring:
  config:
    activate:
      on-profile: 
      - prod

支付功能配置

需要自己去支付宝注册沙盒
将ip地址改为项目网关ip
本地使用支付需要内网穿透

Dockerfile文件配置

Dockerfile-chart，其它Dockerfile类似，内存太小服务可能会挂掉

FROM openjdk:8
VOLUME /tmp
COPY target/*.jar gebi-text.jar
ENV PORT=9096
ENTRYPOINT ["java","-jar","-Xms64m","-Xmx128m","gebi-text.jar","--spring.profiles.active=prod"]
EXPOSE $PORT