作者：xlanger

原文：https://xlange.com/post/first-post.html

当前环境是阿里云ECS，运行系统 CentOS，为方便以后维护和迁移，我利用 Docker 容器来运行各个独立模块。采用开源博客系统 FireKylin，该系统是用 ThinkJS 框架开发的，框架本身则使用的是 Node.js 作为服务端语言，博客系统搭档了 MySQL 数据库，因此我需要 Node.js、 MySQL 和 Nginx 这三个基本的 Docker 镜像，相关链接：

  • Docker Docker enables developers and IT admins to build, ship and run any application, anywhere.
  • ThinkJS The Web framework beyond your dreams, use the full ES6/7 features to develop Node.js applications.
  • FireKylin A Simple & Fast Node Blogging Platform Base On ThinkJS 2.0 & ReactJS & ES2015+.
  1. $ cat /etc/redhat-release 
  2. CentOS Linux release 7.2.1511 (Core)

安装 Docker

参考官方文档 Get Docker for CentOS 吧！

构建 Docker 镜像

在构建镜像过程中会遇到很多的问题，需要重复尝试，因为网络问题，每次在构建中下载需要的源码包是非常费时的，所以我将下载源码包的步骤移到了宿主机上执行，然后通过 COPY 命令拷贝至构建镜像的容器中。

MySQL 部分直接套用了官方镜像

从 Dockerfile 构建 Nodejs 镜像

  1. $ mkdir nodejs-dockerfile
  2. $ cd nodejs-dockerfile
  3. $ curl -SLO https://nodejs.org/dist/v6.9.5/node-v6.9.5.tar.gz
  4. $ vim Dockerfile # 下边提供内容
  5. $ docker build --rm -t node:6.9.5 .

以下是构建 Nodejs 镜像的 Dockerfile 内容：

  1. FROM centos:latest
  3. MAINTAINER xlangersir@gmail.com
  5. ENV NODE_VERSION 6.9.5
  7. COPY node-v$NODE_VERSION.tar.gz . 
  9. RUN yum install -y gcc gcc-c++ make \
  10.     && tar -zxf node-v$NODE_VERSION.tar.gz \
  11.     && cd node-v$NODE_VERSION \
  12.     && ./configure \
  13.     && make -j$(getconf _NPROCESSORS_ONLN) \
  14.     && make install \
  15.     && npm install -g pm2 \
  16.     && cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
  17.     && echo "Asia/Shanghai" >  /etc/timezone \
  18.     && cd .. \
  19.     && rm -Rf "node-v$NODE_VERSION" \
  20.     && rm "node-v$NODE_VERSION.tar.gz" \
  21.     && rm -rf /var/cache/yum
  23. CMD ["node"]

在 Dockerfile 中 npm install -g pm2 用来管理 Node.js 服务，cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime && echo "Asia/Shanghai" > /etc/timezone 用来修改时区。

当前node环境已基于镜像 node:8.1.0-alpine 创建，Github地址：https://github.com/xlanger/docker/tree/master/node

从 Dockerfile 构建 Nginx 镜像

  1. $ mkdir nginx-dockerfile
  2. $ cd nginx-dockerfile
  3. $ curl -SLO http://nginx.org/download/nginx-1.11.10.tar.gz
  4. $ curl -SLO https://www.openssl.org/source/openssl-1.1.0d.tar.gz
  5. $ curl -SLO https://ftp.pcre.org/pub/pcre/pcre-8.40.tar.gz
  6. $ curl -SLO http://www.zlib.net/zlib-1.2.11.tar.gz
  7. $ curl -SLO https://github.com/gperftools/gperftools/releases/download/gperftools-2.5/gperftools-2.5.tar.gz
  8. $ vim Dockerfile # 下边提供内容
  9. $ docker build --rm -t nginx:1.11.10 .

以下是构建 Nginx 镜像的 Dockerfile 内容：

  1. FROM centos:latest
  3. MAINTAINER xlangersir@gmail.com
  5. ENV NGINX_VERSION 1.11.10
  7. WORKDIR /tmp/tmpdir
  9. COPY nginx-$NGINX_VERSION.tar.gz .
  11. COPY openssl-1.1.0d.tar.gz .
  13. COPY pcre-8.40.tar.gz .
  15. COPY zlib-1.2.11.tar.gz .
  17. COPY gperftools-2.5.tar.gz .
  19. COPY nginx-ct.tar.gz .
  21. RUN CONFIG="\
  22.     --prefix=/usr/local/nginx \
  23.     --sbin-path=/usr/sbin/nginx \
  24.     --conf-path=/etc/nginx/nginx.conf \
  25.     --error-log-path=/var/log/nginx/error.log \
  26.     --http-log-path=/var/log/nginx/access.log \
  27.     --user=nginx \
  28.     --group=nginx \
  29.     --with-file-aio \
  30.     --with-http_ssl_module \
  31.     --with-http_v2_module \
  32.     --with-http_realip_module \
  33.     --with-http_addition_module \
  34.     --with-http_sub_module \
  35.     --with-http_dav_module \
  36.     --with-http_flv_module \
  37.     --with-http_mp4_module \
  38.     --with-http_gunzip_module \
  39.     --with-http_slice_module \
  40.     --with-http_gzip_static_module \
  41.     --with-http_random_index_module \
  42.     --with-http_secure_link_module \
  43.     --with-http_degradation_module \
  44.     --with-http_stub_status_module \
  45.     --with-http_perl_module=dynamic \
  46.     --with-http_xslt_module=dynamic \
  47.     --with-http_geoip_module=dynamic \
  48.     --with-http_image_filter_module=dynamic \
  49.     --with-pcre \
  50.     --with-pcre-jit \
  51.     --with-mail=dynamic \
  52.     --with-mail_ssl_module \
  53.     --with-stream=dynamic \
  54.     --with-stream_ssl_module \
  55.     --with-stream_ssl_preread_module \
  56.     --with-stream_realip_module \
  57.     --with-stream_geoip_module=dynamic \
  58.     --with-google_perftools_module \
  59.     --with-openssl=../openssl-1.1.0d \
  60.     --with-pcre=../pcre-8.40 \
  61.     --with-zlib=../zlib-1.2.11 \
  62.     --add-module=../nginx-ct \
  63.     "\
  64.     && yum update -y \
  65.     && yum install -y gcc gcc-c++ make gd-devel libunwind-devel libxslt-devel libxml2-devel perl-devel perl-ExtUtils-Embed GeoIP GeoIP-devel \
  66.     && tar zxf nginx-ct.tar.gz \
  67.     && tar zxf nginx-$NGINX_VERSION.tar.gz \
  68.     && tar zxf openssl-1.1.0d.tar.gz \
  69.     && tar zxf pcre-8.40.tar.gz \
  70.     && tar zxf zlib-1.2.11.tar.gz \
  71.     && tar zxf gperftools-2.5.tar.gz \
  72.     && cd ../gperftools-2.5 \
  73.     && ./configure --enable-shared \
  74.     && make -j$(getconf _NPROCESSORS_ONLN) \
  75.     && make install \
  76.     && cd ../nginx-$NGINX_VERSION \
  77.     && ./configure $CONFIG --with-debug \
  78.     && make -j$(getconf _NPROCESSORS_ONLN) \
  79.     && make install \
  80.     && groupadd -r nginx \
  81.     && useradd -s /sbin/nologin -g nginx nginx \
  82.     && ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
  83.     && if [ -f /etc/timezone ]; then echo "Asia/Shanghai" >  /etc/timezone; fi \
  84.     && echo "/usr/local/lib" > /etc/ld.so.conf.d/libprofiler.so.0.conf \
  85.     && ldconfig \
  86.     && rm -rf /var/cache/yum /tmp/tmpdir
  88. WORKDIR /var/www
  90. EXPOSE 80 443
  92. CMD ["/usr/sbin/nginx", "-g", "daemon off;"]

Nginx 部分配置比较多，稍后单独写一篇记录下来…

准备启航

应用 Docker 的 create 命令创建几个容器，方便其他容器通过 run 命令中的选项 —volumes-from 直接挂载容器共享宿主机资源。

  1. # 宿主机上的www目录挂在到nginx容器的www目录
  2. $ docker create --name wwwcontainer -v /path/to/www:/var/www centos:latest
  3. # 宿主机上的nginx日志保存目录挂在到nginx容器的目录
  4. $ docker create --name nginxlogcontainer -v /path/to/log/nginx:/var/log/nginx centos:latest
  5. # 宿主机上的ningx用TSL签名证书目录挂在到nginx容器的证书目录，通过修改nginx配置文件调用
  6. $ docker create --name nginxsslcontainer -v /path/to/ssl:/var/ssl centos:latest
  7. # 宿主机上的MySQL数据保存目录挂在到MySQL容器的目录
  8. $ docker create --name datadircontainer -v /path/to/mysql/datadir:/var/lib/mysql centos:latest

运行 MySQL 容器

通过官方 MySQL 镜像创建容器，第一次启动会拉取 MySQL 官方镜像，要成功启动还需要通过 run 命令的 -e 选项为其指定必要参数，是否需要为 MySQL 的 root 用户设置密码，有以下三个选项【参考这里】： MYSQL_ROOT_PASSWORD、 MYSQL_ALLOW_EMPTY_PASSWORD 、 MYSQL_RANDOM_ROOT_PASSWORD。

  1. $ docker run \
  2.     --name mysql \
  3.     --volumes-from=datadircontainer \
  4.     -v /etc/localtime:/etc/localtime:ro \
  5.     -e MYSQL_ROOT_PASSWORD=$(cat ~/docker/mysql-root-pwd) \
  6.     -itd  mysql:5.7.17

其他 Run 选项说明如下：

  • —volumes-from=datadircontainer 挂载前面创建的容器与宿主机共享 MySQL 数据目录
  • -v /etc/localtime:/etc/localtime:ro 让容器运行时日期时间与宿主机同步
  • -e MYSQL_ROOT_PASSWORD=$(cat ~/docker/mysql-root-pwd) 从文件读取预先准备的root用户密码。 接下来要为 FireKylin 博客系统准备一个数据库用户和一个空的数据库，并给予相应的权限。
  1. $ CREATE USER 'bloguser'@'%' identified BY 'bloguser@pwd';
  2. $ CREATE DATABASE `firekylin` DEFAULT CHARACTER SET utf8 COLLATE utf8_general_ci;
  3. $ GRANT ALL ON firekylin.* TO 'bloguser'@'%'; 
  4. $ FLUSH PRIVILEGES;

运行 Nodejs 容器

  1. $ docker run \
  2.     --name nodejs \
  3.     --restart=always \
  4.     --link mysql:mysql \
  5.     --volumes-from=wwwcontainer \
  6.     -itd node:6.9.5 \
  7.     /bin/bash -c "pm2 start /var/www/xlange.com/pm2.json && while true; do ping 127.0.0.1; done"
  8. $ docker exec nodejs cat /etc/hosts | grep mysql
  9. 192.168.0.2    mysql e12af043f8c9

Run 命令选项中 —link mysql:mysql 使得 Nodejs 容器运行起来后，可以通过别名与 MySQL 容器通讯(要链接容器的名称或者ID号:当前容器中使用的别名) ，前者容器的IP、当前容器中使用的别名以及前者容器的ID号对将写入当前容器中的 /etc/hosts 文件中，可以通过 Docker 命令 exec 查看。其他选项说明如下：

  • —volumes-from=wwwcontainer 挂载前面创建的容器与宿主机共享 www 目录
  • pm2 start /var/www/xlange.com/pm2.json 使用 pm2 管理 Nodejs 服务
  • while true; do ping 127.0.0.1; done 使 pm2 转入后台之后，保持容器为up状态

运行 Nginx 容器

之前遇到启动 Nginx 时，找不到类库文件 libprofiler.so.0 的错误，采用 export LD_LIBRARY_PATH=/usr/local/lib:$LD_LIBRARY_PATH && /usr/sbin/nginx -g 'daemon off;' 方式将 /usr/local/lib 目录追加到运行时共享类库查找目录的环境变量 LD_LIBRARY_PATH 中解决该问题。现在修改 Dockerfile，其中 echo "/usr/local/lib" > /etc/ld.so.conf.d/libprofiler.so.0.conf && ldconfig 也可避免了这个错误。

  1. $ docker run --rm -it nginx:1.11.10 /usr/sbin/nginx -g 'daemon off;'
  2. /usr/sbin/nginx: error while loading shared libraries: libprofiler.so.0: cannot open shared object file: No such file or directory
  1. $ docker run \
  2.     --name nginx \
  3.     --restart=always \
  4.     --link nodejs:nodejs \
  5.     --volumes-from=wwwcontainer \
  6.     --volumes-from=nginxsslcontainer \
  7.     --volumes-from=nginxlogcontainer \
  8.     -v /path/to/nginx.conf:/etc/nginx/nginx.conf \
  9.     -v /path/to/xlange.com.conf:/etc/nginx/conf.d/xlange.com.conf \
  10.     -itd -p 80:80 -p 443:443 nginx:1.11.10 \
  11.     /bin/bash -c "/usr/sbin/nginx -g 'daemon off;'"

Run 选项说明如下：

  • —link nodejs:nodejs
  • —volumes-from=wwwcontainer 共享宿主机 www 目录
  • —volumes-from=nginxsslcontainer 共享宿主机TSL签名证书文件目录
  • —volumes-from=nginxlogcontainer 共享宿主机Nginx日志文件目录
  • /usr/sbin/nginx -g 'daemon off;' 使 Nginx 作为后台驻留程序运行，保持容器为up状态 Nginx 配置参考：
  1. server {
  2.     listen       443 ssl http2 default_server;
  3.     listen       [::]:443 ssl http2 default_server;
  4.     server_name  xlange.com www.xlange.com;
  6.     root    /var/www/xlange.com/www;
  7.     index   index.js index.html index.htm;
  9.     ssl_session_cache shared:SSL:10m;
  10.     ssl_session_timeout  10m;
  11.     ssl_session_tickets off; # Requires nginx >= 1.5.9
  12.     ssl_ecdh_curve secp384r1; # Requires nginx >= 1.1.0
  13.     resolver 233.5.5.5 119.29.29.29 valid=300s;
  14.     resolver_timeout 5s;
  16.     proxy_hide_header Vary;
  17.     proxy_hide_header X-Runtime;
  18.     proxy_hide_header X-Version;
  19.     proxy_hide_header X-Powered-By;
  20.     proxy_ignore_headers Set-Cookie;
  22.     add_header Cache-Control no-cache;
  23.     add_header X-Frame-Options SAMEORIGIN;
  24.     add_header X-Content-Type-Options nosniff;
  25.     add_header X-XSS-Protection "1; mode=block";
  26.     add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://hm.baidu.com h    ttps://www.google-analytics.com ; style-src 'self' 'unsafe-inline'; img-src 'self' https://hm.baidu.com https://www.google-analytics.com;";
  28.     # Strict Transport Security (HSTS)
  29.     add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload" always;
  30.     # Public Key Pinning (HPKP)
  31.     add_header Public-Key-Pins 'pin-sha256="NO1aizeokVCU2u4ZQob2YJI7OAieh8lcfzcYkZCVUs8="; pin-sha256="JMg0zx3zzkB61hGibJBlmv//NPcPH8lqIFlGFV5I2Ts="; max-age=2592000; includeSubDomains' always;
  33.     ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  34.     ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+ECDSA+AES128:EECDH+aRSA+AES128:RSA+AES128:EECDH+ECDSA+AES256:EECDH+aRSA+AES256:RSA+AES256:EECDH+ECDSA+3DES:EECDH+aRSA+3DES:RSA+3DES:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4:!DSS;
  35.     ssl_prefer_server_ciphers on;
  36.     # Forward Secrecy (DHE and ECDHE)
  37.     ssl_dhparam /var/ssl/dhparams.pem; # >2048-bits recommended
  39.     # CT
  40.     ssl_ct on;
  41.     # RSA
  42.     ssl_certificate /var/ssl/xlange.com/fullchain.pem;
  43.     ssl_certificate_key /var/ssl/xlange.com/privkey.pem;
  44.     ssl_ct_static_scts /var/ssl/xlange.com;
  46.     # ECC
  47.     ssl_certificate /var/ssl/xlange.com_ecc/fullchain.cer;
  48.     ssl_certificate_key  /var/ssl/xlange.com_ecc/xlange.com.key;
  49.     ssl_ct_static_scts /var/ssl/xlange.com_ecc;
  51.     # Offensive Security Certified Professional (OCSP) stapling
  52.     ssl_stapling on; # Requires nginx >= 1.3.7
  53.     ssl_stapling_verify on; # Requires nginx >= 1.3.7
  54.     ssl_stapling_file /var/ssl/xlange.com_ecc/stapling.ocsp;
  55.     ssl_trusted_certificate /var/ssl/xlange.com_ecc/fullchain.cer;
  57.     # Load configuration files for the default server block.
  58.     include /etc/nginx/default.d/*.conf;
  60.     if ($http_host != xlange.com) {
  61.         rewrite  (.*)  https://xlange.com$1;
  62.     }
  64.     location ~* \.html$ {
  65.         rewrite  ^/(.*)\.html$ /$1 last;
  66.     }
  68.     location / {
  69.         proxy_http_version 1.1;
  70.         proxy_set_header X-Real-IP $remote_addr;
  71.         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  72.         proxy_set_header Host $http_host;
  73.         proxy_set_header X-NginX-Proxy true;
  74.         proxy_set_header Upgrade $http_upgrade;
  75.         proxy_set_header Connection "upgrade";
  76.         proxy_pass http://node-web;
  77.         proxy_redirect off;
  78.     }
  80.     location = /development.js {
  81.         deny all;
  82.     }
  84.     location = /testing.js {
  85.         deny all;
  86.     }
  88.     location = /production.js {
  89.         deny all;
  90.     }
  92.     location ~ /static/ {
  93.         etag         on;
  94.         expires      max;
  95.     }
  96. }
  98. server {
  99.     listen       80 default_server;
  100.     listen       [::]:80 default_server;
  101.     server_name  xlange.com www.xlange.com;
  102.     return 301 https://xlange.com$request_uri;
  103. }
  105. upstream node-web {
  106.     server nodejs:8080 weight=1 max_fails=3 fail_timeout=30s;
  107. }

安装配置 FireKylin

访问 https://domain.com/index/install 安装配置 FireKylin，这样博客就可以跑起来了。