راه‌اندازی Caddy و HTTPS خودکار، قدم‌به‌قدم

ابتدا روی سرور آزمایشی یا سروری کار کن که تنظیمات وب‌سرورش را می‌شناسی. روش این آموزش بر پایهٔ نصب بسته و مدیریت سرویس با systemd است؛ صرف داشتن ترمینال لینوکس، برای یکسان بودن مراحل کافی نیست.

دستورهای زیر فقط محیط را بررسی می‌کنند. مقدارهای ID و VERSION_ID باید با انتخاب بالای صفحه هماهنگ باشند. خروجی ps هم باید نشان بدهد پردازش شمارهٔ یک systemd است.

یک زیردامنهٔ واقعی انتخاب کن. app.example.com در این آموزش نمونه است و باید در فایل تنظیمات و دستورهای بررسی با دامنهٔ خودت جایگزین شود. رکورد A را به IPv4 سرور بده؛ رکورد AAAA را فقط وقتی نگه دار که IPv6 آن واقعاً به همین سرور برسد.

cat /etc/os-release
uname -m
ps -p 1 -o comm=
command -v systemctl

دستورها کلید امضای مخزن را دریافت می‌کنند، آن را در فایل جداگانه قرار می‌دهند و منبع بستهٔ پایدار Caddy را اضافه می‌کنند. Python فقط برای برنامهٔ نمونهٔ مرحلهٔ بعد نصب می‌شود.

قبل از تأیید عملیات apt، فهرست تغییرات را بخوان. بستهٔ Debian و Ubuntu سرویس Caddy را خودکار راه می‌اندازد. اگر Nginx یا سرویس دیگری پورت 80 یا 443 را گرفته باشد، ممکن است بسته نصب شود ولی سرویس اجرا نشود؛ ابتدا مشخص کن کدام سرویس باید ورودی وب را مدیریت کند.

نسخه‌ای را که caddy version نشان می‌دهد در یادداشت استقرار ثبت کن. چون مخزن پایدار به‌روز می‌شود، شمارهٔ patch ثابت وعده نمی‌دهیم. برای ارتقای بعدی، یادداشت انتشار همان نسخه را بررسی کن.

sudo apt update
sudo apt install debian-keyring debian-archive-keyring apt-transport-https curl gnupg python3
curl -1sLf https://dl.cloudsmith.io/public/caddy/stable/gpg.key -o /tmp/caddy-stable.asc
sudo gpg --dearmor --yes -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg /tmp/caddy-stable.asc
curl -1sLf https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo chmod o+r /usr/share/keyrings/caddy-stable-archive-keyring.gpg /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy
caddy version

در ترمینال دوم، پوشهٔ خالی جداگانه بساز و وب‌سرور سادهٔ Python را فقط روی loopback اجرا کن. ورودی عمومی را Caddy مدیریت می‌کند؛ پورت برنامهٔ پشت آن نباید روی همهٔ رابط‌های شبکه باز شود.

این ترمینال را باز نگه دار. وب‌سرور توسعهٔ Python فقط برای دیدن نتیجهٔ آموزش است. برای استفادهٔ واقعی باید برنامهٔ خودت را با مدیریت سرویس مناسب جایگزین کنی.

mkdir -p ~/academy-caddy-demo
cd ~/academy-caddy-demo
printf '%s\n' 'WIUNIX Academy: backend is reachable' > index.html
python3 -m http.server 8080 --bind 127.0.0.1

ابتدا با sudo cp -a /etc/caddy/Caddyfile /etc/caddy/Caddyfile.academy-before یک نسخه از فایل موجود نگه دار. اگر سایت‌های دیگری در فایل هستند، بخش تازه را به آن‌ها اضافه کن و تنظیماتشان را حذف نکن.

فایل را با sudoedit /etc/caddy/Caddyfile باز کن. محتوای زیر را داخل فایل بگذار و app.example.com را با دامنهٔ واقعی عوض کن. این بلوک، محتوای فایل است؛ دستور قابل اجرا در ترمینال نیست.

نام دامنه، مسیر HTTPS خودکار را فعال می‌کند و reverse_proxy درخواست‌ها را به برنامهٔ داخلی می‌فرستد. log هم ثبت درخواست را فعال می‌کند. در این نصب، لاگ سرویس را در journald بررسی می‌کنیم. چون لاگ می‌تواند نشانی کاربر و مسیر درخواست داشته باشد، نگهداری آن و پارامترهای حساس URL را آگاهانه مدیریت کن.

app.example.com {
    reverse_proxy 127.0.0.1:8080
    log
}

قبل از اعمال تغییر، همان فایل را با caddy validate بررسی کن. این بررسی از مرتب بودن ظاهر فایل فراتر می‌رود و می‌تواند خطاهای آماده‌سازی تنظیمات را پیدا کند.

عملگر && باعث می‌شود reload فقط پس از موفق بودن بررسی اجرا شود. بعد، وضعیت سرویس و پیام‌های تازه را بخوان. اگر بررسی خطا داد، ابتدا همان خطا را اصلاح کن؛ راه‌اندازی مجدد پی‌درپی، تنظیمات اشتباه را درست نمی‌کند.

sudo caddy validate --config /etc/caddy/Caddyfile --adapter caddyfile && sudo systemctl reload caddy
systemctl is-active caddy
sudo journalctl -u caddy --since '5 minutes ago' --no-pager

Valid configuration
active

صدور گواهی به DNS درست و دسترسی به مسیر تأیید دامنه نیاز دارد. برای روش سادهٔ این آموزش، TCP 80 و 443 باید در فایروال سرور، تنظیمات ارائه‌دهنده و مسیر NAT به Caddy برسند. دسترسی SSH را حفظ کن و پورت 8080 را عمومی نکن. بررسی UDP 443 و HTTP/3 موضوع این مرحله نیست.

از مدیر فایروال موجود استفاده کن. برای دیدن وضعیت UFW، دستور sudo ufw status verbose و برای firewalld، دستور sudo firewall-cmd --list-all کاربرد دارند. فقط سیاست فعال و درست را تغییر بده؛ برای عبور از خطا، فایروال را خاموش یا قوانین را پاک نکن.

روی دستگاهی دیگر، دامنه را در دستورهای زیر جایگزین کن. استفاده نکردن از -k مهم است؛ باید اعتبار گواهی واقعاً بررسی شود. هدایت HTTP و پاسخ صحیح برنامه روی HTTPS، دو بخش متفاوت مسیر را تأیید می‌کنند.

curl -I http://app.example.com/
curl -v https://app.example.com/

HTTP/1.1 308 Permanent Redirect
Location: https://app.example.com/

WIUNIX Academy: backend is reachable