Nginx и Let's Encrypt: бесплатный HTTPS на VPS с Ubuntu и Debian

Шаг 1. Установите nginx

Nginx есть в стандартных репозиториях Ubuntu и Debian. После установки служба сразу запускается и включается в автозапуск - статус должен быть active (running):

sudo apt update
sudo apt install -y nginx
systemctl status nginx --no-pager

Шаг 2. Откройте порты 80 и 443 в UFW

Порт 80 нужен для проверки домена Let's Encrypt и редиректа, 443 - для самого HTTPS. Профиль Nginx Full открывает оба:

sudo ufw allow 'Nginx Full'
sudo ufw status

Если UFW ответит, что профиля с таким именем нет (так бывает на Debian), откройте порты напрямую: sudo ufw allow 80,443/tcp. Правило для SSH при этом должно остаться - проверьте его в выводе ufw status.

Шаг 3. Создайте server block для домена

Server block - это описание одного сайта в nginx. Создайте файл /etc/nginx/sites-available/example.com (например, sudo nano /etc/nginx/sites-available/example.com) с таким содержимым - nginx будет принимать запросы на домен и передавать их приложению на 127.0.0.1:3000:

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

server {
    listen 80;
    server_name example.com www.example.com;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }
}

• Host передаёт приложению имя домена из запроса - без него приложение увидит 127.0.0.1.
• X-Real-IP и X-Forwarded-For несут настоящий IP посетителя, иначе в логах приложения все запросы будут от nginx.
• X-Forwarded-Proto сообщает, пришёл запрос по HTTP или HTTPS: по нему фреймворки строят правильные ссылки и не уходят в цикл редиректов.
• Upgrade и Connection вместе с блоком map нужны для WebSocket. Блок map объявляется один раз на сервер: для второго сайта копируйте только server.

Шаг 4. Включите сайт и проверьте конфигурацию

Сайт включается ссылкой в sites-enabled. Стандартный сайт-заглушку default удалите, чтобы он не перехватывал запросы. nginx -t проверяет синтаксис до перезагрузки - если он пишет syntax is ok и test is successful, конфигурацию можно применять:

sudo ln -s /etc/nginx/sites-available/example.com /etc/nginx/sites-enabled/
sudo rm /etc/nginx/sites-enabled/default
sudo nginx -t
sudo systemctl reload nginx
curl -I http://example.com

Последняя команда должна вернуть ответ вашего приложения по HTTP. Ответ 502 Bad Gateway значит, что nginx работает, а приложение на порту 3000 не запущено.

Шаг 5. Получите сертификат Let's Encrypt через certbot

Certbot - официальный клиент Let's Encrypt от EFF, плагин python3-certbot-nginx сам правит конфигурацию nginx. Укажите все имена, на которые должен действовать сертификат, флагом -d; --redirect сразу включает перенаправление с HTTP на HTTPS:

sudo apt install -y certbot python3-certbot-nginx
sudo certbot --nginx --redirect -d example.com -d www.example.com

При первом запуске certbot спросит email и попросит принять условия Let's Encrypt. Затем он проверит, что домен ведёт на этот сервер (запрос на порт 80), получит сертификат и допишет в server block строки listen 443 ssl и пути к ключам. Подробнее о параметрах - на certbot.eff.org.

Шаг 6. Проверьте автопродление

Сертификат Let's Encrypt действует 90 дней. Пакет certbot из apt ставит таймер systemd, который дважды в день проверяет сертификаты и продлевает те, срок которых подходит к концу; после продления плагин сам перезагружает nginx. Убедитесь, что продление пройдёт:

sudo certbot renew --dry-run
systemctl list-timers | grep certbot
sudo certbot certificates

--dry-run проходит всю процедуру на тестовом сервере Let's Encrypt, не трогая настоящий сертификат. Вторая команда показывает таймер certbot.timer и время следующего запуска, третья - срок действия выпущенных сертификатов.

Шаг 7. Проверьте HTTPS и редирект

Запрос по HTTP должен вернуть 301 Moved Permanently с адресом https:// в заголовке Location, а запрос по HTTPS - ответ приложения без ошибок сертификата:

curl -I http://example.com
curl -I https://example.com

Частые ошибки certbot и nginx

За nginx удобно прятать любые приложения: Node.js-сервис, вебхук Telegram-бота (Telegram принимает вебхуки только по HTTPS) или контейнеры Docker. Для nginx с парой небольших сайтов хватает конфигурации с 1 vCPU и 2 ГБ памяти; VPS Tihost с полным root-доступом разворачивается примерно за 2 минуты.