Quelltext der Seite Phoscon mit nginx Reverse Proxy für Port 443

== Übersicht ==
Installation und Konfiguration von nginx als Reverse Proxy, der nur Port 443 verwendet, ohne den bestehenden Port 80 Dienst zu stören.

Hier wird als Beispiel die IP Adresse 192.168.1.100 und der Hostname raspberrypi verwendet. Diese Angaben müssen selbstverständlich an die tatsächliche IP Adresse und den Hostnamen angepasst werden.

== Installationsschritte ==

=== 1. nginx installieren und sofort stoppen ===
<syntaxhighlight lang="bash">
# System aktualisieren und nginx installieren
sudo apt update
sudo apt install nginx -y

# nginx sofort stoppen und Auto-Start deaktivieren
sudo systemctl stop nginx
sudo systemctl disable nginx
</syntaxhighlight>

=== 2. Standard-Konfiguration entfernen ===
<syntaxhighlight lang="bash">
# Default-Site deaktivieren (verwendet Port 80)
sudo rm /etc/nginx/sites-enabled/default
</syntaxhighlight>

=== 3. SSL-Zertifikat erstellen ===
<syntaxhighlight lang="bash">
# Privaten Schlüssel generieren
sudo openssl genrsa -out /etc/ssl/private/nginx-selfsigned.key 2048

# Zertifikat erstellen (10 Jahre gültig)
sudo openssl req -new -x509 -days 3650 \
  -key /etc/ssl/private/nginx-selfsigned.key \
  -out /etc/ssl/certs/nginx-selfsigned.crt \
  -subj "/C=DE/ST=Home/L=Internal/O=HomeLab/CN=raspberrypi.local" \
  -addext "subjectAltName=IP:192.168.1.100,DNS:raspberrypi.local,DNS:localhost"
</syntaxhighlight>

=== 4. nginx Reverse Proxy Konfiguration erstellen ===
'''Datei:''' <code>/etc/nginx/sites-available/reverse-proxy</code>

<syntaxhighlight lang="nginx">
server {
    listen 443 ssl;
    server_name raspberrypi.local 192.168.1.100 localhost;
    
    # SSL-Zertifikate
    ssl_certificate /etc/ssl/certs/nginx-selfsigned.crt;
    ssl_certificate_key /etc/ssl/private/nginx-selfsigned.key;
    
    # Moderne SSL-Einstellungen
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers on;
    
    # Reverse Proxy zur Anwendung auf Port 80
    location / {
        proxy_pass http://localhost:80;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # Timeout-Einstellungen
        proxy_connect_timeout 30s;
        proxy_read_timeout 60s;
        proxy_send_timeout 60s;
    }
}
</syntaxhighlight>

=== 5. Konfiguration aktivieren ===
<syntaxhighlight lang="bash">
# Konfiguration aktivieren
sudo ln -s /etc/nginx/sites-available/reverse-proxy /etc/nginx/sites-enabled/

# Syntaxprüfung durchführen
sudo nginx -t
</syntaxhighlight>

'''Erwartete Ausgabe:'''
<pre>
nginx: configuration file /etc/nginx/nginx.conf test is successful
</pre>

=== 6. Firewall konfigurieren (wenn vorhanden) ===
<syntaxhighlight lang="bash">
# Nur HTTPS (Port 443) freigeben
sudo ufw allow 443

# Port 80 NICHT freigeben (bleibt für bestehenden Dienst)
# sudo ufw allow 80  # AUSKOMMENTIERT lassen
</syntaxhighlight>

=== 7. nginx starten ===
<syntaxhighlight lang="bash">
# nginx starten
sudo systemctl start nginx

# Automatischen Start aktivieren
sudo systemctl enable nginx

# Status prüfen
sudo systemctl status nginx
</syntaxhighlight>

== Verifikation ==

=== Dienst-Status prüfen ===
<syntaxhighlight lang="bash">
# nginx Status
sudo systemctl status nginx

# Ports prüfen
sudo netstat -tulpn | grep nginx
</syntaxhighlight>

'''Erwartetes Ergebnis:'''
* nginx läuft (<code>active (running)</code>)
* Hört nur auf Port 443 (<code>0.0.0.0:443</code>)
* Port 80 bleibt frei für bestehenden Dienst

=== HTTPS-Verbindung testen ===
<syntaxhighlight lang="bash">
# Lokal testen (selbstsigniertes Zertifikat ignorieren)
curl -k https://localhost

# Mit IP testen
curl -k https://192.168.1.100
</syntaxhighlight>

=== Browser-Test ===
<pre>
https://raspberrypi.local
https://192.168.1.100
</pre>

'''Hinweis:''' Browser-Warnung wegen selbstsigniertem Zertifikat ist normal → "Erweitert" → "Trotzdem weiter"

== Troubleshooting ==

=== Konfigurationsprobleme ===
<syntaxhighlight lang="bash">
# Detaillierte Fehler anzeigen
sudo nginx -t

# Logs prüfen
sudo tail -f /var/log/nginx/error.log
</syntaxhighlight>

=== Port-Konflikte ===
<syntaxhighlight lang="bash">
# Prüfen was auf Port 443 läuft
sudo lsof -i :443

# Alle nginx Prozesse anzeigen
ps aux | grep nginx
</syntaxhighlight>

=== Zertifikat prüfen ===
<syntaxhighlight lang="bash">
# Zertifikat-Informationen anzeigen
sudo openssl x509 -in /etc/ssl/certs/nginx-selfsigned.crt -text -noout
</syntaxhighlight>

== Service-Management Befehle ==
{| class="wikitable"
! Befehl !! Beschreibung
|-
| <code>sudo systemctl start nginx</code> || nginx starten
|-
| <code>sudo systemctl stop nginx</code> || nginx stoppen
|-
| <code>sudo systemctl restart nginx</code> || nginx neustarten
|-
| <code>sudo systemctl reload nginx</code> || Konfiguration neu laden
|-
| <code>sudo systemctl status nginx</code> || Status anzeigen
|-
| <code>sudo nginx -t</code> || Konfiguration testen
|}

== Wichtige Dateien ==
{| class="wikitable"
! Pfad !! Beschreibung
|-
| <code>/etc/nginx/sites-available/reverse-proxy</code> || Reverse Proxy Konfiguration
|-
| <code>/etc/nginx/sites-enabled/reverse-proxy</code> || Aktivierte Konfiguration
|-
| <code>/etc/ssl/certs/nginx-selfsigned.crt</code> || SSL Zertifikat
|-
| <code>/etc/ssl/private/nginx-selfsigned.key</code> || SSL Privater Schlüssel
|-
| <code>/var/log/nginx/error.log</code> || Fehlerlogs
|-
| <code>/var/log/nginx/access.log</code> || Zugriffslogs
|}

== Erfolgskriterien ==
* nginx läuft ohne Fehler (<code>systemctl status nginx</code>)
* Port 443 ist belegt (<code>netstat -tulpn | grep :443</code>)
* Port 80 bleibt für bestehenden Dienst verfügbar
* HTTPS-Verbindung funktioniert (<code>curl -k https://localhost</code>)
* Reverse Proxy leitet korrekt weiter
* Keine Konflikte mit bestehenden Diensten

[[Category:IoT]]