能書き

おうちサーバー構築報告：予告からのおうちサーバー構築。前々回からForgejo関連作業をしています。

ProxmoxVE(9.1.5)に仮想マシンを作成、PostgreSQL(18.4)をインストール
Forgejoをバイナリインストール
リバースプロクシを設定 ←イマココ
Forgejo Runner をインストールし、Forgejo本体と連携
ForgejoでCI/CDを実験
Mattermost(11.4.2)と連携

前提

我が家のサーバーマシンにProxmoxVE(9.1.5)をインストール
Proxmox VE 上にリバースプロキシ用のコンテナを作成している
Proxmox VE 上に仮想マシンを作成して、仮想マシンにForgejoをインストールしている

目標

リバースプロキシを立ててForgejoへアクセスできるようにする
- Let's Encrypt の証明書を取得してhttpsアクセスできるようにする

参考文献

前回、Forgejo本体をインストールしました。

おうちサーバー構築報告：Forgejo 15.0.3 をインストール - Qiita

Forgejoのリバースプロキシについては公式に記述がありました。

Reverse proxy - Setup - Forgejo Administrator Guide

今回は、公式を参考にしつつ、私の過去の手順をなぞります。

Let's Encrypt証明書の削除。

証明書関連ファイルの削除 - 削除 - Let’s Encrypt証明書発行から削除まで試行錯誤 - Qiita

事前準備

準備というか。まずはプロクシを司るコンテナのスナップショットを撮り、それからGitLabで用意したプロクシを削除しておきます。

我が家のリバースプロクシサーバーは172.16.1.103です。ここに踏み台172.16.1.100経由で接続します。

コンテナ172.16.1.100:ユーザーansible

ssh root@172.16.1.103

とりあえずコンテナ172.16.1.103を停止。

コンテナ172.16.1.103:ユーザーroot

shutdown -h now

そうしたら、画面のGUI上でスナップショットを撮り、再起動します。それから踏み台経由で再接続しましょう。

コンテナ172.16.1.100:ユーザーansible

ssh root@172.16.1.103

そして Let's Encrypt 証明書を削除。

コンテナ172.16.1.103:ユーザーroot

MY_DOMAIN=example.com

コンテナ172.16.1.103:ユーザーroot

GITLAB_DOMAIN=gitlab.$MY_DOMAIN

コンテナ172.16.1.103:ユーザーroot

certbot delete --cert-name $GITLAB_DOMAIN

次にnginxのリバースプロクシ設定を削除します。Subversionで管理している都合で、rmコマンドではなくてsvn delを使います。

コンテナ172.16.1.103:ユーザーroot

svn del /etc/nginx/sites-enabled/gitlab.conf
svn del /etc/nginx/sites-available/gitlab.conf
systemctl reload nginx

それからsshのポートフォワーディング設定……は、後で再利用するので、そのまま放置しておきます。
但し1つだけ。known_hostsに登録された172.16.1.104のマシンが変わったので、それを削除します。

コンテナ172.16.1.103:ユーザーroot

ssh-keygen -R 172.16.1.104

ここまで出来たら/etcをSubversion登録しましょう。

コンテナ172.16.1.103:ユーザーroot

cd /etc
svn st
svn ci -m"deleted the reverse proxy for GitLab"
svn up

DNS

さて、Forgejoのリバースプロクシです。

まず最初にDNSを設定します。Let's Encrypt 証明書を取得する為に外からアクセス可能にする必要があります。その関係で、お金を出して買った独自ドメインを使用して下さい。ここでは仮にexample.comにしておきますが、このまま設定しないで下さい。

コンテナ172.16.1.103:ユーザーroot

MY_DOMAIN=example.com

コンテナ172.16.1.103:ユーザーroot

FORGEJO_DOMAIN=forgejo.$MY_DOMAIN

そして外部のDNSにこれを設定し、家庭内ルーターのポートフォワードなども設定しておきます。今回設定するリバースプロキシサーバー172.16.1.103に向けます。この辺りの手順はそれぞれ異なりますので、各機器のマニュアルなどを参照して下さい。

家庭内DNSにも設定します。我が家の家庭内DNSはUnboundを使用していますが、他のマシンの設定に合わせて修正します。

コンテナ172.16.1.100:ユーザーansible

ssh root@172.16.1.101

コンテナ172.16.1.101(netowrk.local):ユーザーroot

cd /etc/unbound/unbound.conf.d
vi machines.list

コンテナ172.16.1.101(netowrk.local):ユーザーroot

unbound-checkconf
systemctl restart unbound

そして/etcをSubversionでコミットします。

コンテナ172.16.1.101(netowrk.local):ユーザーroot

cd /etc
svn st
svn st | grep "^?" | cut -b9- | xargs -I{} find {} -type f -or -type d -or -type l | xargs -rt svn add
svn ci -m"DNS setting for Forgejo proxy"
svn up

コンテナ172.16.1.101(netowrk.local):ユーザーroot

exit

Let's Encrypt 証明書

Let's Encrypt で証明書を取得して設定します。その為のnginx設定をします。

コンテナ172.16.1.103:ユーザーroot

FORGEJO_HOST_IPADDR=172.16.1.104
FORGEJO_PORT_HTTP=3000

コンテナ172.16.1.103:ユーザーroot

cd /etc/nginx/sites-available
cat <<___ >forgejo.conf
server {
    listen        80;
    server_name   $FORGEJO_DOMAIN;
    server_tokens off;

    location ^~ /.well-known/acme-challenge/ {
        root   /usr/share/nginx/html/ssl-proof;
    }

    location / {
        proxy_pass http://$FORGEJO_HOST_IPADDR:$FORGEJO_PORT_HTTP;
    }
}
___
cd ../sites-enabled
ln -s /etc/nginx/sites-available/forgejo.conf

nginxに新しい設定を読み込ませます。

コンテナ172.16.1.103:ユーザーroot

systemctl reload nginx

Let's Encrypt 証明書を取得します。

コンテナ172.16.1.103:ユーザーroot

certbot certonly --register-unsafely-without-email --agree-tos --webroot -w /usr/share/nginx/html/ssl-proof -d $FORGEJO_DOMAIN

certbotの出力を見て成功していたら（Successfully received certificate. の表示があったら）/etc/nginx/sites-available/forgejo.confを書き換えます。参考文献の問題は対応済の内容になっています。

コンテナ172.16.1.103:ユーザーroot

cat <<___ >/etc/nginx/sites-available/forgejo.conf
server {
  listen 80;
  server_name $FORGEJO_DOMAIN;
  location ^~ /.well-known/acme-challenge/ {
    root /usr/share/nginx/html/ssl-proof;
  }
  return 301 https://\$server_name\$request_uri;
}

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;
  server_name $FORGEJO_DOMAIN;
  merge_slashes off;

  ssl_certificate /etc/letsencrypt/live/$FORGEJO_DOMAIN/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/$FORGEJO_DOMAIN/privkey.pem;
  ssl_session_timeout 1d;

  ssl_prefer_server_ciphers on;
  ssl_session_cache shared:SSL:50m;
  # HSTS (ngx_http_headers_module is required) (15768000 seconds = six months)
  add_header Strict-Transport-Security max-age=15768000;
  # OCSP Stapling ---
  # fetch OCSP records from URL in ssl_certificate and cache them
  ssl_stapling off;

  location / {
    proxy_pass http://$FORGEJO_HOST_IPADDR:$FORGEJO_PORT_HTTP;

    proxy_set_header Connection \$http_connection;
    proxy_set_header Upgrade \$http_upgrade;
    proxy_set_header Host \$host;
    proxy_set_header X-Real-IP \$remote_addr;
    proxy_set_header X-Forwarded-For \$proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto \$scheme;

    client_max_body_size 512M;
  }
}
___

設定ファイルをチェック。

コンテナ172.16.1.103:ユーザーroot

nginx -t

問題無ければnginxに新しい設定を読み込ませます。

コンテナ172.16.1.103:ユーザーroot

systemctl reload nginx

普段使いのクライアントマシンからアクセスすると（httpsにリダイレクトされてから）Forgejoのサインイン画面が表示されます。

最後にSubversionへ登録します。証明書だけは登録しないように注意します。その為の設定は既に出来ている筈なので、ここではそれを確認するだけです。

コンテナ172.16.1.103:ユーザーroot

cd /etc
svn st

コンテナ172.16.1.103:ユーザーroot

svn st | grep "^?" | cut -b9- | xargs -rt svn add
svn ci -m"Forgejo"
svn up

`/etc/forgejo/app.ini`の修正

今度はForgejoサーバーのインストール先コンテナ172.16.1.104にアクセスします。

普段使いのWindowsマシン

ssh administrator@172.16.1.104

/etc/forgejo/app.iniを修正します。