```bash
server {
    listen 8080;
    server_name localhost;

    location / {
        root /your/site/public;
        index index.html;

        # kill cache
        add_header Last-Modified $date_gmt;
        add_header Cache-Control 'no-store, no-cache';
        if_modified_since off;
        expires off;
        etag off;
    }
}
```

No cache headers sent:
```bash
$ curl -I http://localhost:8080
HTTP/1.1 200 OK
Server: nginx/1.12.1
Date: Mon, 24 Jul 2017 16:19:30 GMT
Content-Type: text/html
Content-Length: 2076
Connection: keep-alive
Last-Modified: Monday, 24-Jul-2017 16:19:30 GMT
Cache-Control: no-store
Accept-Ranges: bytes
```

`Last-Modified` is always current time

**Note:** nginx's `$date_gmt` format is not per the HTTP spec (see [changing the format](https://stackoverflow.com/questions/26581098/how-to-set-date-format-for-nginx-date-local)).

Disable cache by #nginx

## Для чего это нужно
К примеру, Вы хотите разместить статический билд клиентского Web приложения на некоем ресурсе и хотите закрыть доступ к этой странице всем, кроме тех кто введет логин и пароль. Такой инстанс можно назвать Staging и он явно должен быть не для всех.

## Шаг 1. Конфигурация
```shell
cd /etc/nginx/conf.d/
sudo nano 50-pravosleva.pro.conf
```

Изменение части конфигурации
```nginx
location /dist.project-1 {
  index index.html;
  root /root/projects; # NOTE: В моем случае, это директория с билдами проектов
  autoindex on;

  auth_basic "Administrator’s Area";
  auth_basic_user_file /var/www/html/.htpasswd;
}
```

<Alert text="Подробнее о настройке инфраструктуры, которую я использую [для простого примера](http://pravosleva.pro:3000/)" type="info" />

## Шаг 2. Файл-хранилище хэшей паролей
В моем случае потребовалось это:
```shell
apt install apache2-utils
```

Как проверить:
```shell
htpasswd -v
```

Где-нибудь в каталоге создаем файл-хранилище
```shell
cd /var/www/html
htpasswd -c ./.htpasswd tester
```

Далее программа спросит пароль и его подтверждение

## Шаг 3. Перезапуск Web сервера NGINX
```shell
sudo systemctl reload nginx
```

<Alert header="See also" text="[Restricting Access with HTTP Basic Authentication](https://docs.nginx.com/nginx/admin-guide/security-controls/configuring-http-basic-authentication/)" type="default" />

Как запаролить страницу на уровне #nginx

![cors](https://pravosleva.pro/express-helper/chat/storage/uploads/funny-day/1724784686461.jpg)

The following Nginx configuration enables CORS, with support for preflight requests.

```bash
# NOTE: Wide-open CORS config for nginx
location / {
     if ($request_method = 'OPTIONS') {
        add_header 'Access-Control-Allow-Origin' '*';
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
        # NOTE: Custom headers and headers various browsers *should* be OK with but aren't
        add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
        # NOTE: Tell client that this pre-flight info is valid for 20 days
        add_header 'Access-Control-Max-Age' 1728000;
        add_header 'Content-Type' 'text/plain; charset=utf-8';
        add_header 'Content-Length' 0;
        return 204;
     }
     if ($request_method = 'POST') {
        add_header 'Access-Control-Allow-Origin' '*' always;
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS' always;
        add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range' always;
        add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range' always;
     }
     if ($request_method = 'GET') {
        add_header 'Access-Control-Allow-Origin' '*' always;
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS' always;
        add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range' always;
        add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range' always;
     }
}
```

Enable CORS #nginx

## Что такое Certbot?
Это клиент протокола ACME предназначенный для автоматического управления SSL-сертификатами от Let's Encrypt, он позволяет полностью автоматизировать процесс получения и продления сертификата, а при использовании соответствующих плагинов даже может автоматически конфигурировать веб-сервер или иное, использующее сертификат приложение.

Все дальнейшие инструкции будут предназначены для пользователей актуальных версий Debian и Ubuntu, но многое будет справедливо и для иных дистрибутивов Linux.

## Установка в Ubuntu 14.04/16.04

В отличие от разработчиков Debian в Ubuntu пошли другим путем, оформив Certbot в виде отдельного PPA. Данная технология позволяет любому желающему создать собственный репозиторий и хорошо известна любому пользователю Ubuntu, однако вся ответственность за содержимое PPA лежит только на их авторах, поэтому использовать их следует с определенной долей осмотрительности и осторожности.

Прежде всего установим необходимое для работы с PPA программное обеспечение:

```bash
apt-get install software-properties-common
```

Затем добавим нужный PPA:
```bash
add-apt-repository ppa:certbot/certbot
```

Обновим список пакетов:
```bash
apt-get update
```

и установим Certbot:
```bash
apt-get install certbot
```

Последовательность действий для всех дистрибутивов Ubuntu одинаковая, при подключении PPA автоматически определяется выпуск Ubuntu и добавляются нужные репозитории. Точно также можно установить Certbot на промежуточные релизы (16.10 или 17.04) но мы не рекомендуем их использование в производственных средах.

## Подготовка к получению сертификатов

В предыдущей статье цикла мы довольно подробно разбирали работу плагина webroot, который позволяет автоматически получать сертификаты используя уже установленный в системе веб-сервер. Если коротко, то вы указываете путь к корневой директории сайта, для которого получаете сертификат в файловой системе, Certbot создает там необходимую структуру папок и размещает необходимый для проверки файл.

В случае с одним доменом это не вызывает проблем, но если их много или вам требуется сертификат сразу на несколько доменов (основной домен и поддомены), корневые директории у которых отличаются, то у вас возникнут затруднения. Поэтому сам Let's Encrypt рекомендует перейти в таком случае на единую точку подтверждения сертификатов. Сделать это несложно, и мы сейчас расскажем, как.

В доступной для веб-сервера директории создадим отдельную папку, скажем, letsencrypt, которую затем мы будем использовать для всех обслуживаемых доменов и установим ее владельцем веб-сервер:

```bash
mkdir /var/www/letsencrypt
chown www-data:www-data /var/www/letsencrypt
```
Теперь нам нужно сделать так, чтобы любой запрос вида:
```bash
http://example.com/.well-known/acme-challenge
```

приводил к физическому размещению:
```bash
/var/www/letsencrypt/.well-known/acme-challenge
```
Это несложно, но для каждого из веб-серверов делается по-разному, ниже мы рассмотрим самые популярные из них.

### Nginx

Nginx - второй по популярности веб-сервер (и первый среди продвинутых пользователей) предполагает несколько иной подход к настройке. Для каждого виртуального хоста в секцию server следует добавить блок:
```bash
location ^~ /.well-known/acme-challenge/ {
   default_type "text/plain";
   root /var/www/letsencrypt;
}
location = /.well-known/acme-challenge/ {
   return 404;
}
```

## Регистрация в Let's Encrypt

Да, вы не ошиблись, именно регистрация. Обычно этот пункт пропускают, так как регистрация автоматически выполняется при первом получении сертификата. Но так как мы подробно разбираем работу Certbot, то решили коротко коснуться и этого момента.

Регистрация нужна для формирования ключевой пары, которой впоследствии подписываются все запросы, что позволяет удостовериться в подлинности отправителя. Это важно, так как все запросы передаются по открытым каналам и теоретически возможен их перехват и модификация.

Адрес электронной почты указываемый при регистрации используется для рассылки уведомлений, например, при неудачной попытке продления сертификата, поэтому следует указывать рабочий ящик, лучше всего собственный. Один и тот-же адрес можно использовать для регистрации на разных хостах, ограничений по этому параметру нет.

Для регистрации выполните команду
```bash
certbot register -m admin@example.com
```

`--dry-run ` включает тестовый режим, при котором производится симуляция получения сертификата, --webroot - указывает используемый плагин, после ключа -w указываем путь к директории для letsencrypt, а затем через ключ `-d` указываем домены для которых мы получаем сертификат. Как минимум это должно быть основное имя сайта и имя c www, хотя никто не мешает включить вам в сертификат все нужные поддомены или вообще разные домены. Лимит на количество доменов в сертификате равен 100.
```bash
certbot certonly --dry-run --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro
```

После того как тестовый запуск увенчался успехом можно переходить к получению сертификата:

```bash
certbot certonly --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro
```

[See original](https://interface31.ru/tech_it/2017/04/poluchaem-sertifikaty-lets-encrypt-pri-pomoshhi-certbot.html)

<Alert type='info' header='See also about Failed Validation Limit' text='too many failed authorizations recently: see https://letsencrypt.org/docs/failed-validation-limit/' />

```bash
root@pravosleva:/var/www# certbot certonly --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro^C
root@pravosleva:/var/www# certbot certonly --dry-run --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for pravosleva.pro
http-01 challenge for www.pravosleva.pro
Using the webroot path /var/www/letsencrypt for all unmatched domains.
Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - The dry run was successful.
root@pravosleva:/var/www# certbot certonly --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for pravosleva.pro
http-01 challenge for www.pravosleva.pro
Using the webroot path /var/www/letsencrypt for all unmatched domains.
Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/pravosleva.pro/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/pravosleva.pro/privkey.pem
   Your cert will expire on 2023-12-28. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le
```

После этого раскоментируем комены:
```bash
root@pravosleva:/etc/nginx/conf.d# cat 50-pravosleva.pro.conf 
server {
  listen 80;
  #listen 443 ssl;

  server_name pravosleva.pro;
  
  #ssl_certificate /etc/letsencrypt/live/pravosleva.pro/fullchain.pem;
  #ssl_certificate_key /etc/letsencrypt/live/pravosleva.pro/privkey.pem;
  #ssl_protocols        TLSv1.2 TLSv1.1 TLSv1;
  #ssl_prefer_server_ciphers on;
  #ssl_ciphers 'kEECDH+ECDSA+AES128 kEECDH+ECDSA+AES256 kEECDH+AES128 kEECDH+AES256 kEDH+AES128 kEDH+AES256 DES-CBC3-SHA +SHA !aNULL !eNULL !LOW !MD5 !EXP !DSS !PSK !SRP !kECDH !CAMELLIA !RC4 !SEED';
  #ssl_session_cache   shared:SSL:10m;
  #ssl_session_timeout 10m;

  location ^~ /.well-known/acme-challenge/ {
    default_type "text/plain";
    root /var/www/letsencrypt;
  }
  location = /.well-known/acme-challenge/ {
    return 404;
  }

  #location /static {
  #  root /root/projects/pravosleva-blog-2021-frontend.nextjs/public;
  #}
  #location /socket.io {
  #  proxy_set_header Upgrade $http_upgrade;
  #  proxy_set_header Connection "upgrade";
  #  proxy_set_header Host $host;
  #  proxy_set_header Test "hello world from nginx";
  #  proxy_pass http://nextjs;
  #}
  #location / {
  #  proxy_set_header   X-Real-IP $remote_addr;
  #  proxy_pass http://nextjs;
  #}
}
```

Получаем #ssl сертификаты Let's Encrypt при помощи #certbot 🎓 #nginx #pravosleva.pro v2023

Where is the logs, mf?

https://betterstack.com/community/guides/logging/how-to-view-and-configure-nginx-access-and-error-logs/

```bash
cat /var/log/nginx/error.log
```

<Alert type='info' text='https://www.digitalocean.com/community/tutorials/nginx-access-logs-error-logs' header='See also' />

How to see #nginx logs #infra

<YoutubePlayer videoId='OgCXa7e-mO0' />

https://gist.github.com/dancheskus/8d26823d0f5633e9dde63d150afb40b2

https nginx docker

## http://acme.sh

> Можно сертбот. Можно acme.sh 
> У [acme.sh](http://acme.sh) зависимостей меньше.

#https #nginx | #infrastructureExperience Step 3

# Infrastructure Exp: Step 2

***Настройка NGINX на примере стека:***
- front: next (tcp: 9000)
- back: strapi (tcp: 1337)
- helper: express server (tcp: 5000)
- tg bot: express server (tcp: 2021)

## Шаг 1

То, что общее - выносишь из конфига сервера в отдельный конфиг. Например `/etc/nginx/conf.d/00-options.conf`

пишешь туда общие для всех штуки

```bash
client_body_timeout 300s;
client_body_buffer_size 16K;
client_max_body_size 32m;
server_tokens off;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection 'upgrade';
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
```

Upd 2023:
```bash
client_body_timeout 300s;
client_body_buffer_size 5m;
client_max_body_size 32m;
server_tokens off;
proxy_http_version 1.1;
#proxy_set_header Upgrade $http_upgrade;
#proxy_set_header Connection 'upgrade';
proxy_set_header Host $host;
#proxy_cache_bypass $http_upgrade;

proxy_connect_timeout 600;
proxy_send_timeout 600;
proxy_read_timeout 600;
send_timeout 600;
```

На самом деле я бы поспорил про пару параметров, но фиг с ним, оставим, как есть

## Шаг 2

Создаем файл апстримов, чтобы можно было их менять отдельно от остального конфига.
там же в `/conf.d` создай файл `00-upstreams.conf`
Содержимое:

```bash
upstream nextjs {
  server 127.0.0.1:9000 fail_timeout=0 max_fails=0;
}

upstream node {
  server 127.0.0.1:1337 fail_timeout=0 max_fails=0;
}

upstream helper {
  server 127.0.0.1:5000 fail_timeout=0 max_fails=0;
}

upstream tg-bot {
  server 127.0.0.1:2021 fail_timeout=0 max_fails=0;
}
```

Это твои апстримы. Их имена будешь использовать в конфиге при ***proxy_pass***

## Шаг 3
Забэкапь свой текущий конфиг и убери его из `conf.d` куда-нибудь подальше.
Создаешь в `conf.d` файл `50-pravosleva.ru.conf`
Содержимое тут: https://pastebin.com/2sCvs5sA

```bash
server {
  listen 80;
  server_name .pravosleva.ru;
 
  location = /favicon.ico {
    root /home/pravosleva/pravosleva-blog/frontend/public;
  }
 
  location / {
    proxy_pass http://nextjs;
  }
 
  location /api/uploads {
    rewrite ^/api/(.*)$ /$1 break;
    root /home/pravosleva/pravosleva-blog/backend/public;
  }
  location /uploads {
    root /home/pravosleva/pravosleva-blog/backend/public;
  }

  location /static {
    root /home/pravosleva/pravosleva-blog/frontend/public;
  }
  location /api/ {
    proxy_pass http://node/;
  }
  location ~ ^/(admin|users-permissions|content-manager|upload|socket.io|content-type-builder)/ {
    proxy_pass http://node;
  }
  # V2
  location /express-helper/ {
    proxy_pass http://helper/;
  }
  location  ~ ^/express-helper/chat/(.*)$ {
    proxy_buffering off;
    proxy_redirect  off;
    proxy_set_header  Host  $http_host;
    proxy_set_header  X-Forwarder-For  $remote_addr;
    proxy_set_header  X-Frame-Options  SAMEORIGIN;
    proxy_pass   http://helper/chat/$1;
  }
  location /storybook {
    root /home/pravosleva/pravosleva-blog/frontend/.next;
  }

  location /tg-bot-2021/ {
    proxy_pass http://tg-bot/;
  }
}
```

### v2 (2022-12-30)
```bash
server {
  listen 80;
  listen 443 ssl;
  server_name .pravosleva.ru;
  ssl_certificate /etc/letsencrypt/live/pravosleva.ru/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/pravosleva.ru/privkey.pem;

  location ~ /.well-known {
    allow all;
  }

  location = /favicon.ico {
    root /home/projects/pravosleva-blog/frontend/public;
  }

  # --- STRAPI + CRA (hash router)
  location /cra/ {
    proxy_pass http://strapi/cra/;
  }
  location ~ ^/analyze/ {
    #proxy_pass http://strapi/cra/analyze;
    root /home/projects/pravosleva-blog/backend/public/cra/;
  }
  # ---

  location /api/uploads {
    rewrite ^/api/(.*)$ /$1 break;
    root /home/projects/pravosleva-blog/backend/public;
  }
  # Old Strapi API:
  location /documentation {
    proxy_pass http://strapi;
  }
  location /plugins {
    proxy_pass http://strapi;
  }

  # --- NEXT
  location /static {
    root /home/projects/pravosleva-blog/frontend.nextjs/public;
  }
  location / {
    proxy_pass http://nextjs;
  }
  # ---

  location /api/ {
    proxy_pass http://strapi/;
  }
  location /upload {
    proxy_pass http://strapi;
  }
  location ~ ^/(email|admin|upload|i18n|users-permissions|content-manager|socket.io|content-type-builder)/ {
    proxy_pass http://strapi;
  }
  location ~ ^/uploads/ {
    root /home/projects/pravosleva-blog/backend/public/;
  }

  location ~ ^/express-helper/auth/signin/(.*)$ {
      proxy_buffering off;
      proxy_redirect  off;
      proxy_set_header  Host  $http_host;
      proxy_set_header  X-Forwarder-For  $remote_addr;
      proxy_set_header  X-Frame-Options  SAMEORIGIN;
      proxy_pass   http://helper/auth/signin/$1;
  }
  #location /express-helper/chat/ {
  #  root /home/projects/pravosleva-blog/express-helper/server-dist/routers/chat/spa.build/;
  #}
  #location /express-helper/chat/ {
  #  proxy_pass http://helper/chat/;
  #}
  #location /express-helper/chat/ {
  #  try_files $uri $uri/ /home/projects/pravosleva-blog/express-helper/server-dist/routers/chat/spa.build/;
  #}
  location ~ ^/express-helper/chat/(.*)$ {
      proxy_buffering off;
      proxy_redirect  off;
      proxy_set_header  Host  $http_host;
      proxy_set_header  X-Forwarder-For  $remote_addr;
      proxy_set_header  X-Frame-Options  SAMEORIGIN;
      proxy_pass   http://helper/chat/$1;
  }
  location /express-helper/ {
    # kill cache
    #add_header Last-Modified $date_gmt;
    #add_header Cache-Control 'no-store, no-cache, must-revalidate, proxy-revalidate, max-age=0';
    #if_modified_since off;
    #expires off;
    #etag off;

    # don't cache it
    #proxy_no_cache 1;
    # even if cached, don't try to use it
    proxy_cache_bypass 1;

    max_ranges 0;

    proxy_pass http://helper/;
  }
  #location /storybook {
  #  root /home/projects/pravosleva-blog/frontend/.next;
  #}

  location  ~ ^/cra/(.*)$ {
      proxy_buffering off;
      proxy_redirect  off;
      proxy_set_header  Host  $http_host;
      proxy_set_header  X-Forwarder-For  $remote_addr;
      proxy_set_header  X-Frame-Options  SAMEORIGIN;
      proxy_pass   http://strapi/cra/$1;
  }

  location /tg-bot-2021/ {
    proxy_pass http://tg-bot/;
  }
}
```

### Upd 2023.09
```bash
server {
  listen 80;
  listen 443 ssl;
  
  server_name .pravosleva.ru;
  
  ssl on;
  ssl_certificate /etc/letsencrypt/live/pravosleva.ru/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/pravosleva.ru/privkey.pem;
  ssl_protocols        TLSv1.2 TLSv1.1 TLSv1;
  ssl_prefer_server_ciphers on;
  ssl_ciphers 'kEECDH+ECDSA+AES128 kEECDH+ECDSA+AES256 kEECDH+AES128 kEECDH+AES256 kEDH+AES128 kEDH+AES256 DES-CBC3-SHA +SHA !aNULL !eNULL !LOW !MD5 !EXP !DSS !PSK !SRP !kECDH !CAMELLIA !RC4 !SEED';
  ssl_session_cache   shared:SSL:10m;
  ssl_session_timeout 10m;  

  location = /favicon.ico {
    root /home/projects/pravosleva-blog/frontend/public;
  }
  location ~ /.well-known {
    root /home/projects/pravosleva-blog/cert-output/;
  }

  location /dist.viselitsa-2023 {
    index index.html;
    max_ranges 0;
    root /home/projects;
  }

  # --- STRAPI + CRA (hash router)
  #location /cra/ {
  #  proxy_pass http://strapi/cra/;
  #}
  #location ~ ^/analyze/ {
  #  #proxy_pass http://strapi/cra/analyze;
  #  root /home/projects/pravosleva-blog/backend/public/cra/;
  #}
  # ---
  #location /api/uploads {
  #  rewrite ^/api/(.*)$ /$1 break;
  #  root /home/projects/pravosleva-blog/backend/public;
  #}
  # Old Strapi API:
  #location /documentation {
  #  proxy_pass http://strapi;
  #}
  #location /plugins {
  #  proxy_pass http://strapi;
  #}

  # --- NEXT
  location /static {
    root /home/projects/pravosleva-blog/frontend.nextjs/public;
  }
  location /socket.io {
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_set_header Host $host;
    proxy_set_header Test "hello world from nginx";
    proxy_pass http://nextjs;
  }
  location / {
    proxy_set_header   X-Real-IP $remote_addr;
    proxy_pass http://nextjs;
  }
  # ---

  #location /api/ {
  #  proxy_pass http://strapi/;
  #}
  #location /upload {
  #  proxy_pass http://strapi;
  #}
  #location ~ ^/(email|admin|upload|i18n|users-permissions|content-manager|socket.io|content-type-builder)/ {
  #  proxy_pass http://strapi;
  #}
  #location ~ ^/uploads/ {
  #  root /home/projects/pravosleva-blog/backend/public/;
  #}

  location ~ ^/express-helper/auth/signin/(.*)$ {
      proxy_buffering off;
      proxy_redirect  off;
      proxy_set_header  Host  $http_host;
      proxy_set_header  X-Forwarder-For  $remote_addr;
      proxy_set_header  X-Frame-Options  SAMEORIGIN;
      proxy_pass   http://helper/auth/signin/$1;
  }
  #location /express-helper/chat/ {
  #  root /home/projects/pravosleva-blog/express-helper/server-dist/routers/chat/spa.build/;
  #}
  #location /express-helper/chat/ {
  #  proxy_pass http://helper/chat/;
  #}
  #location /express-helper/chat/ {
  #  try_files $uri $uri/ /home/projects/pravosleva-blog/express-helper/server-dist/routers/chat/spa.build/;
  #}
  location ~ ^/express-helper/chat/(.*)$ {
      proxy_buffering off;
      proxy_redirect  off;
      proxy_set_header  Host  $http_host;
      proxy_set_header  X-Forwarder-For  $remote_addr;
      proxy_set_header  X-Frame-Options  SAMEORIGIN;
      proxy_pass   http://helper/chat/$1;
  }
  location /express-helper/ {
    # kill cache
    #add_header Last-Modified $date_gmt;
    #add_header Cache-Control 'no-store, no-cache, must-revalidate, proxy-revalidate, max-age=0';
    #if_modified_since off;
    #expires off;
    #etag off;

    # don't cache it
    #proxy_no_cache 1;
    # even if cached, don't try to use it
    proxy_cache_bypass 1;

    max_ranges 0;

    proxy_pass http://helper/;
  }
  #location /storybook {
  #  root /home/projects/pravosleva-blog/frontend/.next;
  #}

  #location  ~ ^/cra/(.*)$ {
  #    proxy_buffering off;
  #    proxy_redirect  off;
  #    proxy_set_header  Host  $http_host;
  #    proxy_set_header  X-Forwarder-For  $remote_addr;
  #    proxy_set_header  X-Frame-Options  SAMEORIGIN;
  #    proxy_pass   http://strapi/cra/$1;
  #}

  location /tg-bot-2021/ {
    proxy_pass http://tg-bot/;
  }
}
```

## Шаг 4
Создаешь в `conf.d` файл `51-gosuslugi.pravosleva.ru.conf`
Его содержимое:

```bash
server {
  listen 80;
  server_name gosuslugi.pravosleva.ru;

  location / {
    proxy_set_header Host pravosleva.ru;
    proxy_pass http://127.0.0.1:80;
  }
}
```

Проверяешь конфиг `nginx -t`

Ну и перезапускаешь nginx.

```bash
systemctl restart nginx
```

> не совсем понял, эти конфиги надо импортировать в одном месте? или nginx сам их все найдет?

у тебя в основном `nginx.conf` наверняка есть строчка

```bash
include conf.d/*.conf;
```

Она импортирует все содержимое `conf.d` из файлов с расширением *conf*

Поэтому можно смело размещать там конфиги.
А цифры вначале - для сортировки. Иногда важен порядок включения файлов

> четко работает
> Есть вопрос только.
> **node** - это зарезервированное слово или где эта переменная объявлена?

Это имя апстрима в `00-upstreams.conf`

> А в чем смысл наименований некоторых файлов с `00-*` или с `50-*/51-*` ?

Просто я так делаю обычно. Общие конфиги под номерами от 00 до 19. 
Виртхосты - от 50 и выше. 
Большой разбег позволяет при необходимости вставить что-нибудь в нужное место без переименования

#nginx #subdomain поддомен 🎓 #pravosleva v1 (SSR) | домен 3-го уровня 

- [Nginx - ошибка upstream prematurely closed connection while reading response header from upstream](https://wiki.iphoster.net/wiki/Nginx_-_%D0%BE%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_upstream_prematurely_closed_connection_while_reading_response_header_from_upstream)
- [Nginx upstream prematurely closed connection while reading response header from upstream, for large requests](https://stackoverflow.com/questions/36488688/nginx-upstream-prematurely-closed-connection-while-reading-response-header-from)

#nginx - ошибка upstream prematurely closed connection while reading response header from upstream

- https://github.com/x25/ngx_pngquant
- https://github.com/imgproxy/imgproxy

#nginx #imageCompression

## Step 1: NGINX

Changes in `/etc/nginx/conf.d/default.conf` file:
```bash
server {
  # etc.

  location / {
    proxy_set_header  X-Real-IP  $remote_addr;

    # etc.
  }
}
```

## Step 2: Express middlewares

### 2.1: IP detector middleware

`mws/ip-detector.js`
```js
module.exports = function (req, res, next) {
  // NOTE: http://code-samples.space/notes/601d00a80883d4603bb0e8ab

  req.clientIp = req.headers['x-real-ip']

  next()
}
```

### 2.2: Consumer middleware for example

`mws/geoip-lite.js`
```js
const geoip = require('geoip-lite')

module.exports = function (req, res, next) {
  if (!!req.clientIp) {
    // NOTE: https://www.npmjs.com/package/geoip-lite#looking-up-an-ip-address
    req.geo = geoip.lookup(req.clientIp)
  }

  next()
}
```

### 2.3: Server script sample

`run.js`
```js
const app = require('express')()
const PORT = process.env.PORT ? Number(process.env.PORT) : 3000
const ipDetectorMW = require('./mws/ip-detector')
const geoipLiteMW = require('./mws/geoip-lite')

app.use('*', ipDetectorMW, geoipLiteMW)
// NOTE: For example: const ip = req.clientIp; const geo = req.geo;

server.listen(PORT, (err) => {
  if (err) throw err
  console.log(`> Ready on http://localhost:${PORT}`)
})
```

## Sample

http://code-samples.space/e-api/common/my-ip

How to got IP from NGINX | #ip #express #nginx

<CollapsibleBox
header="Node.js"
text="**Node.js** — кроссплатформенная среда выполнения JavaScript с открытым исходным кодом"
actionsJson='[
  {
    "label": "LOCAL_LINK",
    "link": "#1-1.-node.js"
  }
]'
/>

<CollapsibleBox
header="VSCode"
text="**Visual Studio Code (VS Code)** — текстовый редактор, разработанный Microsoft для Windows, Linux и macOS"
actionsJson='[
  {
    "label": "LOCAL_LINK",
    "link": "#1-2.-vscode"
  }
]'
/>

<CollapsibleBox
header="Docker"
text="**Docker** — ПО для автоматизации развёртывания и управления приложениями в средах с поддержкой контейнеризации"
actionsJson='[
  {
    "label": "LOCAL_LINK",
    "link": "#1-3.-docker"
  }
]'
/>

<CollapsibleBox
header="NGINX"
text="**NGINX** — Веб сервер. Был разработан Игорем Сысоевым в 2004 году"
actionsJson='[
  {
    "label": "LOCAL_LINK",
    "link": "#1-4.-nginx"
  }
]'
/>

<CollapsibleBox
header="GIT"
text="**GIT** — Распределенная система контроля версий. Проект был создан Линусом Торвальдсом для управления разработкой ядра Linux, первая версия выпущена 7 апреля 2005 года"
actionsJson='[
  {
    "label": "LOCAL_LINK",
    "link": "#1-5.-git"
  }
]'
/>

<CollapsibleBox
header="PM2"
text="**PM2** — это менеджер процессов с открытым исходным кодом"
actionsJson='[
  {
    "label": "LOCAL_LINK",
    "link": "#1-7.-pm2"
  }
]'
/>

# ✅ 1. [Node.js](https://nodejs.org/ru/)

**With NVM**

Чтобы установить Node js Ubuntu 18.04 с помощью NVM нам понадобится компилятор C++ в системе, а также другие инструменты для сборки. По умолчанию система не поставляется с этими программами, поэтому их необходимо установить.

```bash
sudo apt install build-essential checkinstall
```
Также нам понадобится libssl
```bash
sudo apt install libssl-dev
```
*Скачать и установить менеджер версий NVM*
```bash
wget -qO- https://raw.githubusercontent.com/creationix/nvm/v0.33.8/install.sh | bash
source /etc/profile
# Then restart your terminal...
```
<Alert type="warning" header="Обратите внимание ☝️ 🧐 🤌" text="В скрипте выше указана конкретная версия nvm. Для более актуальной информации можно зайти [сюда](https://nodejs.org/en/download/package-manager)" />

*Список доступных версий nodejs*
```bash
nvm ls-remote
```
*Дальше можно устанавливать Node js в Ubuntu, при установке обязательно указывать версию, на данный момент самая последняя 11.0, но установим десятую*
```bash
nvm install 10.0
```
*Список установленных версий вы можете посмотреть выполнив*
```bash
nvm list
```
*Дальше необходимо указать менеджеру какую версию нужно использовать*
```bash
nvm use 10.0
```
*Как только появятся более новые версии node js, вы сможете их установить и активировать в системе. Посмотреть версию вы можете выполнив команду `node -v`*

*Чтобы удалить эту версию node js, ее нужно деактивировать:*
```bash
nvm deactivate 10.0
```
*Затем можно удалить*
```bash
nvm uninstall 10.0
```
См. также [Установка node js Ubuntu 18.04 различными способами](https://losst.ru/ustanovka-node-js-ubuntu-18-04)

# ✅ 2. VSCode

## 2.1 Tab size
```
File -> Preferences -> Settings
```

There you can find both (find tab size and detect indentation) in search box, like I have shown in following image (see the text 'lets play')

detect indentation => uncheck it (turn off)

tab size => Set it to 2

How to ? need to visualize? here it is, Right click following image and open in new tab see it clearly

<ImagesGalleryBox itemsJson='[
  {
    "src": "https://pravosleva.pro/express-helper/chat/storage/uploads/ubuntu-first-steps.pravosleva/1719433482928.jpg",
    "original": "https://pravosleva.pro/express-helper/chat/storage/uploads/ubuntu-first-steps.pravosleva/1719433482928.jpg",
    "title": "Instructions",
    "caption": "How to set 2 spaces instead of tabs"
  }
]' />

## 2.2 Apps

Думаю, навряд ли будут проблемы поставить из магазина приложений.

```bash
λ code --list-extensions
dbaeumer.vscode-eslint
dsznajder.es7-react-js-snippets
EditorConfig.EditorConfig
esbenp.prettier-vscode
MariusAlchimavicius.json-to-ts
mikestead.dotenv
ms-vscode-remote.remote-containers
ms-vscode-remote.remote-ssh
ms-vscode-remote.remote-ssh-edit
ms-vscode-remote.remote-wsl
ms-vscode-remote.vscode-remote-extensionpack
prui.template-generator-vscode
redhat.vscode-yaml
shinnn.stylelint
wix.vscode-import-cost
```

# ✅ 3. [Docker](https://docs.docker.com/engine/install/ubuntu/)

3.1 Install Docker Engine on Ubuntu
> *А те программы, которые я устанавливаю из-под рута - они будут по умолчанию доступны для других пользователей?*
>
> **Смотря как устанавливаешь. Если это deb пакеты или snap пакеты, то да.**
>
> *Вот я докер ставлю. **[Install using the repository](https://docs.docker.com/engine/install/ubuntu/#install-using-the-repository)** - Это репозиторий с deb пакетами*

3.2 [How to install `docker-compose` on Ubuntu 20.04 Focal Fossa Linux](https://linuxconfig.org/how-to-install-docker-compose-on-ubuntu-20-04-focal-fossa-linux)

**Step by Step**

*Install docker-compose from Ubuntu Repository*
```bash
# Step 1: Installing `docker-compose` requires only a single step. Execute the bellow `apt` command:
sudo apt install docker-compose
# Step 2: Check the `docker-compose` to confirm the installation:
docker-compose version
docker-compose version 1.21.0, build unknown
docker-py version: 3.4.1
CPython version: 3.7.5
OpenSSL version: OpenSSL 1.1.1c  28 May 2019
```
*And also you can Install the latest `docker-compose` version from the official git repository:*

Sometimes you might want to install the latest version of docker-compose. In this case navigate to the official docker-compose git repository and follow the installation procedure. You can use the below commands while replacing the version number in the URL. Example:
```bash
sudo wget -O  /usr/local/bin/docker-compose https://github.com/docker/compose/releases/download/1.25.0/docker-compose-Linux-x86_64\nsudo chmod +x /usr/local/bin/docker-compose
```
Check the version:
```bash
docker-compose version
docker-compose version 1.25.0, build 0a186604
docker-py version: 4.1.0
CPython version: 3.7.4
OpenSSL version: OpenSSL 1.1.0l  10 Sep 2019
```

[How To Remove Docker Images, Containers, and Volumes](https://www.digitalocean.com/community/tutorials/how-to-remove-docker-images-containers-and-volumes)

Docker provides a single command that will clean up any resources — images, containers, volumes, and networks — that are dangling (not tagged or associated with a container)
```bash
docker system prune
```

<ControlsBox
  controlsJson='[
    {
      "title": "NEXT",
      "label": "Docker 2023",
      "type": "link",
      "link": "/blog/article/docker-exp-2023"
    }
  ]'
/>

# ✅ 4. NGINX

*Stop Apache 2 if necessary*
```bash
/etc/init.d/apache2 stop
# OR: sudo /etc/init.d/apache2 stop
# OR: sudo service apache2 stop
```

[Установка Nginx в Ubuntu 20.04](https://www.digitalocean.com/community/tutorials/how-to-install-nginx-on-ubuntu-20-04-ru)

> Прежде чем начать прохождение настоящего обучающего модуля, необходимо настроить на сервере обычного пользователя без прав root с привилегиями sudo. Информацию о том, как настроить стандартную учетную запись пользователя, можно найти [в руководстве Начальная настройка сервера для Ubuntu 20.04](https://www.digitalocean.com/community/tutorials/initial-server-setup-with-ubuntu-20-04).
- ✅ Устаноска NGINX
```bash
sudo apt update
sudo apt install nginx
```
- ✅ Настройка брандмауэра
- ✅ Проверка веб-сервера
- ✅ Управление процессом Nginx
```bash
# See sattus
service nginx status
# Stop web server
sudo systemctl stop nginx
# Start stopped web server
sudo systemctl start nginx
# Stop and start web server
sudo systemctl restart nginx
# Restart web server without drop connections
sudo systemctl reload nginx
```
- ✅ Настройка блоков сервера (рекомендуется)
- ✅ Знакомство с важными файлами и директориями Nginx

### Nginx не стартует: Address already in use (nginx: bind to 0.0.0.0:80 failed)

Обычно это означает, что у вас есть другая служба, работающая на том же порту. Обратите внимание, что несколько служб не могут прослушивать один и тот же порт.

Служба, которая уже прослушивает порт 80, может быть Apache или любым другим веб-сервером, прослушивающим порт 80.

Чтобы проверить это, вы можете запустить следующую команду:

```bash
sudo netstat -plant | grep 80
```

Это покажет вам, какая именно служба прослушивает порт 80, и вы сможете принять решение, хотите ли вы иметь эту службу такой, какая она есть, или использовать Nginx вместо нее.

Если это действительно Apache, вам нужно будет решить, хотите ли вы использовать Apache или Nginx.

Если вы хотите использовать только Nginx, вам нужно сначала остановить Apache:

```bash
sudo systemctl stop apache2
```

А затем запустите Nginx:

```bash
sudo systemctl start nginx
```

# ✅ 5. GIT
```bash
sudo apt install git
```

# ✅ 6. Yarn
```bash
sudo apt install --no-install-recommends yarn
```

<Alert type='info' header='See also' text='About `yarn global` https://classic.yarnpkg.com/en/docs/cli/global/' />

### ERROR: There are no scenarios; must have at least one.

You've got the wrong `yarn` 😄 The Yarn you're executing comes from the `cmdtest` package: http://manpages.ubuntu.com/manpages/xenial/man1/yarn.1.html. Uninstalling `cmdtest` should fix this. Once you've uninstalled it, follow the instructions on https://yarnpkg.com/en/docs/install#linux-tab to add the Yarn repo:

```bash
curl -sS https://dl.yarnpkg.com/debian/pubkey.gpg | sudo apt-key add -
echo "deb https://dl.yarnpkg.com/debian/ stable main" | sudo tee /etc/apt/sources.list.d/yarn.list
sudo apt update
sudo apt install yarn
```

[See answer](https://github.com/yarnpkg/yarn/issues/2821#issuecomment-284181365)

# ✅ 7. PM2
```bash
npm install pm2 -g
```

## And also
PM2 the process manager for Node.js applications. PM2 basically manages applications (run them in the background as a service). So this is how we install PM2 globally with sudo permissions account
```bash
sudo npm install -g pm2
```
The `-g` option tells npm to install the module globally, so that it's available system-wide. Once this is installed, check the installed path as:
```bash
whereis pm2
pm2: /opt/node/bin/pm2 /opt/node/lib/node_modules/pm2/bin/pm2
```
Now, we need to add this path in startup bash script. Add add the following line anywhere in `~/.bashrc` file. 
```bash
export PATH=$PATH:/opt/node/lib/node_modules/pm2/bin
```
Now re-login or source the bash script as follows(so that bash script runs and path is set) 
```bash
source ~/.bashrc
```
and now it should run. check the status of pm2
```bash
pm2 status
```

*Way 2 (Does not works: Could not resolve 'apt.pm2.io'): https://pm2.keymetrics.io/docs/usage/install-as-deb/*

## Logs space settings

```bash
pm2 install pm2-logrotate
pm2 set pm2-logrotate:max_size 10M
```

# ⭕ etc.
*Text editor `nano`*
```bash
sudo apt-get install nano
```

✅ First steps in #ubuntu | #nodejs #docker #vscode #nginx #pm2 #logrotate

```nginx
location /sale/ {
  rewrite ^(.*)$ /catalog?sort=price%3Adesc&sale=true ;
}
```

#smartprice #nginx /sale rewrite

https://gist.github.com/unixcharles/949271
```bash
#user  nobody;
worker_processes  1;

events {
    worker_connections  1024;
}


http {
    include       mime.types;
    default_type  application/octet-stream;
    send_timeout 1800;
    sendfile        on;
    keepalive_timeout  6500;

    server {
        listen       80;
        server_name  localhost;

        location / {
          proxy_pass          http://localhost:3000;
          proxy_set_header    Host              $host;
          proxy_set_header    X-Real-IP         $remote_addr;
          proxy_set_header    X-Forwarded-For   $proxy_add_x_forwarded_for;
          proxy_set_header    X-Client-Verify   SUCCESS;
          proxy_set_header    X-Client-DN       $ssl_client_s_dn;
          proxy_set_header    X-SSL-Subject     $ssl_client_s_dn;
          proxy_set_header    X-SSL-Issuer      $ssl_client_i_dn;
          proxy_set_header    X-Forwarded-Proto http;
          proxy_read_timeout 1800;
          proxy_connect_timeout 1800;
        }
    }

    # HTTPS server
    
    server {
        listen       443;
        server_name  localhost;
    
        ssl                  on;
        ssl_certificate      server.crt;
        ssl_certificate_key  server.key;

        ssl_session_timeout  5m;
    
        ssl_protocols  SSLv2 SSLv3 TLSv1;
        ssl_ciphers  ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
        ssl_prefer_server_ciphers   on;
    
        location / {
          proxy_pass          http://localhost:3000;
          proxy_set_header    Host              $host;
          proxy_set_header    X-Real-IP         $remote_addr;
          proxy_set_header    X-Forwarded-For   $proxy_add_x_forwarded_for;
          proxy_set_header    X-Client-Verify   SUCCESS;
          proxy_set_header    X-Client-DN       $ssl_client_s_dn;
          proxy_set_header    X-SSL-Subject     $ssl_client_s_dn;
          proxy_set_header    X-SSL-Issuer      $ssl_client_i_dn;
          proxy_set_header    X-Forwarded-Proto http;
          proxy_read_timeout 1800;
          proxy_connect_timeout 1800;
        }
    }

}
```

#nginx #ssl | config for http/https proxy to localhost:3000 

https://ubiq.co/tech-blog/disable-nginx-cache/

#nginx | Disable cache

https://www.nginx.com/blog/websocket-nginx/

#nginx as a WebSocket Proxy

`/etc/nginx/conf.d/smartprice.local.conf`

```bash
server {
    listen 80;
    client_max_body_size 32m;
    server_tokens off;
    proxy_http_version 1.1;
    # proxy_set_header Upgrade $http_upgrade;
    # proxy_set_header Connection 'upgrade';
    # proxy_set_header Host $host;
    # proxy_cache_bypass $http_upgrade;

    location / {
        if ($request_method = 'POST') {
           add_header 'Access-Control-Allow-Origin' '*';
           add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
           add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
           add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
        }
        if ($request_method = 'GET') {
           add_header 'Access-Control-Allow-Origin' '*';
           add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
           add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
           add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
        }
        proxy_pass          http://127.0.0.1:3000;
        proxy_http_version  1.1;
    }

    # location /api {
    #     rewrite ^/api/(.*)$ /$1 break;
    #     proxy_pass          http://127.0.0.1:5000/smartprice/api/$1
    # }
    location  ~ ^/api/(.*)$ {
        proxy_pass   http://127.0.0.1:5000/smartprice/api/$1;
    }
    location  ~ ^/fapi/(.*)$ {
        proxy_pass   http://127.0.0.1:5000/smartprice/fapi/$1;
    }
    location  ~ ^/otapi/(.*)$ {
        proxy_pass   http://127.0.0.1:5000/smartprice/otapi/$1;
    }
    location  ~ ^/static/(.*)$ {
        proxy_pass   https://smartprice.ru/static/$1;
    }
}
```

#nginx #smartprice | local config

https://techformist.com/request-redirect-nginx-spa/

Nginx rediect

> Нджинкс обычно как точку входа используют. Балансировщик нагрузки, обратный прокси. В вашем случае контейнеров может быть хоть 500. И каждый будет слушать свой 801 порт. А в конфиге нджинкса, как точки входа, надо всего лишь перечислить все адреса контейнеров. Тогда, если я правильно понимаю логику его работы, он по кругу будет их обходить и прокидывать входящий запрос на первый рабочий/наименее нагруженный контейнер

#nginxNotes

<YoutubePlayer videoId='39vDgivMPHs' />

Чтобы разрешить доступ к ресурсу из конкретных источников:
```bash
server {
  location / {
    add_header 'Access-Control-Allow-Origin' 'a.com' always;
    # Доверенный сайт получит нужную информацию, остальные получат ошбку
  }
}
```
Дать доступ к источнику только для определенных методов
```bash
server {
  location / {
    add_header 'Access-Control-Allow-Origin' 'a.com' always;
    add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT' always;
    # Теперь доверенные источники смогут использовать только эти методы
  }
}
```
Кешировать предварительные запросы:
```
add_header "Access-Control-Max-Age" 86400;
```

> **See also**
> - https://dev.to/lydiahallie/cs-visualized-cors-5b8h
> - [How to enable CORS in NGINX proxy server](https://stackoverflow.com/questions/45986631/how-to-enable-cors-in-nginx-proxy-server)

#nginx #cors

> Все настройки взяты с текущей машины как образец

## Step 1: NGINX

Add
```bash
proxy_set_header  X-Real-IP  $remote_addr;
```
to `/etc/nginx/conf.d/default.conf` file:
```bash
server {
  listen 80;
  client_max_body_size 32m;
  server_tokens off;
  proxy_http_version 1.1;

  location / {
    proxy_set_header  X-Real-IP  $remote_addr;

    if ($request_method = 'POST') {
      add_header 'Access-Control-Allow-Origin' '*';
      add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
      add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
      add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
    }
    if ($request_method = 'GET') {
      add_header 'Access-Control-Allow-Origin' '*';
      add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
      add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
      add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
    }
    proxy_pass          http://127.0.0.1:9000;
    proxy_http_version  1.1;
  }

  # location /api {
  #   rewrite ^/api/(.*)$ /$1 break;
  #   proxy_pass          http://127.0.0.1:5000/smartprice/api/$1
  # }
  # location  ~ ^/api/(.*)$ {
  #   proxy_pass   http://127.0.0.1:5000/smartprice/api/$1;
  # }
}
```

## Step 2: Express middlewares

### 2.1: `mws/ip-detector.js`

```js
// const userIP = require('user-ip')

module.exports = function (req, res, next) {
  // const ip = userIP(req)
  const ip = req.headers['x-real-ip']
  // NOTE: http://code-samples.space/notes/601d00a80883d4603bb0e8ab

  req.clientIp = ip

  next()
}
```

### 2.2: `mws/geoip-lite.js`

```js
const geoip = require('geoip-lite')

module.exports = function (req, res, next) {
  if (!!req.clientIp) {
    // NOTE: See also off doc
    // https://www.npmjs.com/package/geoip-lite#looking-up-an-ip-address
    req.geo = geoip.lookup(req.clientIp)
  }

  next()
}
```

### 2.3: Server script sample `run.js`

```js
import { socketLogic } from '~/socket-logic'

const next = require('next')
const expressRouter = require('./express-tools/e-api')

const isDev = process.env.NODE_ENV !== 'production'
const app = require('express')()
const server = require('http').Server(app)
const io = require('socket.io')(server)
const nextApp = next({ dev: isDev })
const nextHanlder = nextApp.getRequestHandler()
const PORT = process.env.PORT ? Number(process.env.PORT) : 3000
const ipDetectorMW = require('./mws/middlewares/ip-detector')
const geoipLiteMW = require('./mws/geoip-lite')

const _customIO = socketLogic(io)

app.use('*', ipDetectorMW, geoipLiteMW)
// NOTE: For example: const ip = req.clientIp; const geo = req.geo;

nextApp
  .prepare()
  .then(() => {
    /**
     * Router Middleware
     * Router - /e-api/*
     * Method - *
     */
    app.use('/e-api', expressRouter)

    app.all('*', (req, res) => {
      req.io = _customIO
      return nextHanlder(req, res)
    })

    server.listen(PORT, (err) => {
      if (err) throw err
      console.log(`> Ready on http://localhost:${PORT}`)
    })
  })
  .catch((ex) => {
    console.error(ex.stack)
    process.exit(1)
  })
```

## Sample

http://code-samples.space/e-api/common/my-ip

#ip #express #nginx

## [Install NGINX proxy](https://sbcode.net/tssock/install-nginx/)

Description

I also want to point a domain name and an SSL certificate to the game server. We can add settings inside our server.js which is being run by NodeJS to manage this, but it is very common to use a proxy instead for this purpose. We can use Nginx. Nginx will be able to manage proxying for all your domain names and SSL certificates for this server, in case you ever want to have several websites running on it.

Check if Nginx is installed
```bash
nginx -v
```
No, then install it with
```bash
sudo apt install nginx
```
Now check its version
```bash
nginx -v
```
Now check it's status
```bash
sudo service nginx status
```
Visit http://[your ip address]

Delete the file /etc/nginx/sites-enabled/default
```bash
rm /etc/nginx/sites-enabled/default
```
Create a new file called /etc/nginx/sites-enabled/minigames

Add this script
```bash
server {
    listen 80;
    listen [::]:80;

    location / {
        proxy_pass           http://127.0.0.1:3000/;
    }
}
```
Test it by visiting again http://[your ip address]

Look at errors, how it is polling, and not creating a proper socket.
```bash
server {
    listen 80;
    listen [::]:80;

    location /socket.io/ {
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_pass "http://localhost:3000/socket.io/";
    }
    location / {
        proxy_pass           http://127.0.0.1:3000/;
    }
}
```
Test nginx configuration is ok,
```bash
nginx -t
```
restart
```bash
sudo service nginx restart
```
And visit again http://[your ip address]

It should be perfect without any errors.

As an extra measure, to ensure that the game can only be played via the Nginx proxy, we can also block access to port 3000 from the internet but not locally on the server.
```bash
iptables -A INPUT -p tcp -s localhost --dport 3000 -j ACCEPT
iptables -A INPUT -p tcp --dport 3000 -j DROP
iptables -L
```

## Add SSL

Lets make http://minigames.your-domain.tld have an SSL certificate and repoint all HTTP traffic to HTTPS

Install Certbot
```bash
sudo apt install certbot
```
Now we can run CertBot
```bash
sudo certbot certonly
```
Select option 2. In the next few steps it will want to know the webroot of our application since it wil put a temporary file into the folder and try and retrieve it using the domain name. This is to very that we control this server and domain name.

The web root folder will be the root folder that our nodejs server is serving to the browser client. According to my setup, that will be **/var/www/minigames/dist/client/**

> If you domain name hasn't fully propagated across the internet yet, then Certbot will not be able to validate your request with your IP and you will need to try again in an hour or so.

You should see a message indicating that the certificate was issued. It will also indicate the folder where Certbot saved your new certificate keys.

Replace your Nginx minigames.conf with the script below, while also updating the folder location of the ssl_certificate and ssl_certificate_key properties below to match those given to you by Certbot.

Also replace occurrences of YOUR-DOMAIN-NAME with your actual domain name that you received the certificates for.

```
server {
    listen 443;
    listen [::]:443;
    ssl on;
    server_name  YOUR-DOMAIN-NAME;
    ssl_certificate      /etc/letsencrypt/live/YOUR-DOMAIN-NAME/fullchain.pem;
    ssl_certificate_key  /etc/letsencrypt/live/YOUR-DOMAIN-NAME/privkey.pem;

    location /socket.io/ {
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_pass "http://localhost:3000/socket.io/";
    }
    location / {
        proxy_pass           http://127.0.0.1:3000/;
    }
}

server {
    listen 80;
    listen [::]:80;
    server_name  YOUR-DOMAIN-NAME;
    return 301 https://YOUR-DOMAIN-NAME$request_uri;
}
```

Now visit **https://minigames.your-domain.tld**

or visit mine to see a working example

https://minigames.seanwasere.com

## Sample 2021-02-03

```bash
pravosleva@dan:~/projects/certbot-experience$ sudo certbot certonly
Saving debug log to /var/log/letsencrypt/letsencrypt.log

How would you like to authenticate with the ACME CA?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: Spin up a temporary webserver (standalone)
2: Place files in webroot directory (webroot)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 1
Plugins selected: Authenticator standalone, Installer None
Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel): selection4test@gmail.com

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server at
https://acme-v02.api.letsencrypt.org/directory
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(A)gree/(C)ancel: A

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about our work
encrypting the web, EFF news, campaigns, and ways to support digital freedom.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: N
Please enter in your domain name(s) (comma and/or space separated)  (Enter 'c'
to cancel): selection4test.ru           
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for selection4test.ru
Cleaning up challenges
Problem binding to port 80: Could not bind to IPv4 or IPv6.

IMPORTANT NOTES:
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.

```

🎓 #ssl #cerbot #nginx

[dmosk.ru](https://www.dmosk.ru/miniinstruktions.php?mini=nginx-redirects#url-other-server)

nginx