运行环境：Ubuntu 18.04 LTS以及Docker。
使用的软件为：
- MySQL，作为数据库；
- WordPress，本体；
- Nginx，网页服务器；
- Certbot，用于申请Let‘s Encrypt的证书。
以上程序都使用Docker镜像，由于完整的WordPress镜像里内置了Apache，这里使用适用于Nginx的WordPress-fpm镜像
主机使用的是AWS Lightsail 5刀的订阅，最低3.5刀的订阅内存只有512M似乎不够运行这一套东西。
准备
- 运行Ubuntu 18.04 LTS的服务器，其他系统流程一般应该是大同小异的；
- 一个域名，如果需要的话在最后有NameSilo的推广链接。此外，谷歌也能找到一些免费的域名提供商；
- 设置域名的A记录到服务器的IP地址，AWS不提供IPv6地址，所以也没法测试IPv6应该怎么做；
- 最后，记得打开服务器防火墙上的80和443端口。
安装Docker
这里参照Docker官网的安装说明进行安装，区别是apt-get被我改成了apt，不过没啥区别。如果安装过旧版的Docker要先更新，或者干脆卸载重装。我的机器里没有Docker，所以就直接安装了。
设置Docker仓库
更新软件源列表：
sudo apt update安装一些依赖项，用于通过HTTPS获取软件仓库：
sudo apt install apt-transport-https ca-certificates curl gnupg-agent software-properties-common添加Docker的GPG密钥：
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -搜索一下密钥的指纹来，检查一下密钥是否添加成功：
sudo apt-key fingerprint 0EBFCD88如果添加成功的话会返回如下内容：
pub rsa4096 2017-02-22 [SCEA]
9DC8 5822 9FC7 DD38 854A E2D8 8D81 803C 0EBF CD88
uid [ unknown] Docker Release (CE deb) <[email protected]>
sub rsa4096 2017-02-22 [S]安装Docker EC
更新软件源：
sudo apt update安装Docker EC和containerd，我这里直接安装最新版的：
sudo apt install docker-ce docker-ce-cli containers.io测试是否安装成功：
sudo docker run hello-world如果安装成功的话会输出一些有关Docker的说明之类的东西。
默认情况下，需要使用sudo命令来运行Docker，不过可以将用户添加到docker用户组来设置为Docker管理员，这样就不需要使用sudo了：
sudo usermod -aG docker your-user其中 your-user为要使用docker的用户名。
现在Docker已经安装好了，不过为了方便使用这里使用Docker官方提供的容器编排工具Docker Compose来配置容器。
安装Docker Compose
下载Docker Compose：
sudo curl -L "https://github.com/docker/compose/releases/download/1.25.3/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose添加执行权限：
sudo chmod +x /usr/local/bin/docker-compose测试是否安装成功：
docker-compose --version如果输出版本号说明安装成功。
编写配置文件
首先建立一个文件夹用来保存所需的配置文件，例如wordpress文件夹：
mkdir wordpress && cd wordpress编写Nginx配置文件
这里创建的Nginx配置文件用于使Certbot获取证书。如果不需要HTTPS的话也可以直接用，不过HTTPS是现在的趋势，建议还是用上比较好。
创建一个用来保存nginx配置文件的文件夹：
mkdir nginx-conf编写nginx的配置文件，可以把vim换成顺手的编辑器，例如nano：
vim nginx-conf/nginx.conf把下面的配置文件粘贴到编辑器里，然后把里面的example.com更换成要使用的域名：
server {
listen 80;
listen [::]:80;
server_name example.com www.example.com;
index index.php index.html index.htm;
root /var/www/html;
location ~ /.well-known/acme-challenge {
allow all;
root /var/www/html;
}
location / {
try_files $uri $uri/ /index.php$is_args$args;
}
location ~ \.php$ {
try_files $uri =404;
fastcgi_split_path_info ^(.+\.php)(/.+)$;
fastcgi_pass wordpress:9000;
fastcgi_index index.php;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
}
location ~ /\.ht {
deny all;
}
location = /favicon.ico {
log_not_found off; access_log off;
}
location = /robots.txt {
log_not_found off; access_log off; allow all;
}
location ~* \.(css|gif|ico|jpeg|jpg|js|png)$ {
expires max;
log_not_found off;
}
}最后记得保存
配置环境变量
这一步主要是为了将数据库的密码与docker compose文件分开保存，如果不做的话需要把密码写在docker compose文件内。
创建一个.env文件：
vim .env在里面写入数据库密码，其中：
- your_root_password是root用户密码；
- your_wordpress_database_user是创建的用户名；
- your_wordpress_database_password是用户密码。
上面三个内容替换为自己要设置的用户名和密码
MYSQL_ROOT_PASSWORD=your_root_password
MYSQL_USER=your_wordpress_database_user
MYSQL_PASSWORD=your_wordpress_database_password编辑完成后保存并关闭文件。
为了避免.env文件被存储到Git和Docker中，可以创建两个文件，先创建.dockerignore：
vim .dockerignore然后输入不想保存的文件名:
.env
.git
docker-compose.yml
.dockerignore然后保存。
同样，建立.gitignore文件：
vim .gitignore输入：
.env并保存。
创建Docker Compose配置文件
创建一个docker-compose.yml文件来为容器进行配置：
vim docker-compose.yml首先写入Compose文件版本号，版本号适配的版本可以在Docker的官方文档里查询到，写这篇文章时的最新版是3：
version: '3'接下来在下面配置数据库：
services:
db:
image: mysql
container_name: db
volumes:
- dbdata:/var/lib/mysql
restart: unless-stopped
env_file: .env
environment:
- MYSQL_DATABASE=wordpress
command: '--default-authentication-plugin=mysql_native_password'
networks:
- app-network其中参数对应如下：
- image：使用的容器镜像，这里使用mysql镜像，可以在镜像名后面输入“:版本号”来指定使用的版本；
- container_name：容器的名称；
- restart：容器的重启策略，默认不会自动重启，这里设置为除非手动关闭，否则自动重启；
- env_file：将文件加入到环境变量中，这里就是之前创建的.env文件；
- environment：添加的环境变量，由于数据库名称不涉及到敏感信息，所以可以直接在这里添加；
- command：替换启动指令，因为使用的WordPress镜像不支持新版MySQL验证，使用这个选项来使MySQL使用旧版的身份验证。
继续在文件中配置wordpress：
wordpress:
depends_on:
- db
image: wordpress:fpm
container_name: wordpress
restart: unless-stopped
env_file: .env
environment:
- WORDPRESS_DB_HOST=db:3306
- WORDPRESS_DB_NAME=wordpress
- WORDPRESS_DB_USER=$MYSQL_USER
- WORDPRESS_DB_PASSWORD=$MYSQL_PASSWORD
volumes:
- wordpress:/var/www/html
networks:
- app-network其中：
- depends_on：用于设置容器的启动顺序，这里设置为使这个容器在数据库启动之后启动；
- image：由于使用Nginx作为网页服务器，所以这里使用Wordpress的fpm镜像；
- env_file：将.env文件作为环境变量；
- environment：设置数据库的端口，数据库名称，用户名和密码，其中端口号使用默认的3306端口，用户名和密码则通过.env文件来指定；
- volumes：将wordpress的数据卷挂载到/var/www/html目录下，以便与其他容器共享；
- networks：将容器添加到app-network网络中。
然后在文件中继续添加Nginx的配置：
webserver:
depends_on:
- wordpress
image: nginx
container_name: webserver
restart: unless-stopped
ports:
- "80:80"
- "443:443"
volumes:
- wordpress:/var/www/html
- ./nginx-conf:/etc/nginx/conf.d
- certbot-etc:/etc/letsencrypt
networks:
- app-network其中选项对应为：
- ports：暴露的端口，这里使用HTTP默认使用的80端口和HTTPS默认使用的443端口；
- vloumes：这里分别挂载了数据卷和本机的数据文件
- wordpress:/var/www/html：将wordpress数据卷挂载到/var/www/html目录，这个是Nginx的根目录；
- ./nginx-conf:/etc/nginx/conf.d：将主机上的配置文件挂载到容器中的相应目录；
- certbot-etc:/etc/letsencrypt：将HTTPS需要的证书挂载到相应目录中。
最后，添加获取HTTPS证书的Certbot的配置：
certbot:
depends_on:
- webserver
image: certbot/certbot
container_name: certbot
volumes:
- certbot-etc:/etc/letsencrypt
- wordpress:/var/www/html
command: certonly --webroot --webroot-path=/var/www/html --email [email protected] --agree-tos --no-eff-email --staging -d example.com其中，command选项中的参数里的[email protected]为申请证书所使用的邮箱，example.com为要申请的域名。
- --webroot：使用webroot插件来进行HTTP-01验证；
- --webroot-path：指定webroot目录的路径；
- --email：注册和恢复证书使用的电子邮件，在这里使用的例子为[email protected]，应换成要使用的电子邮件；
- --agree-tos：表示同意ACME的使用协议；
- --no-eff-email：表示不与电子前哨基金会共享电子邮件地址，如果愿意共享的话可以删除；
- --staging：使用测试模式来获取证书，因为每周申请证书的次数是有限的，可以加上这个参数进行测试，确认运行正常之后再删除该参数来正式申请证书；
- -d： 指定申请证书的域名，这里的例子是example.com，应换成要使用的域名。
最后，在文件中添加如下内容来定义数据卷和网络：
volumes:
certbot-etc:
wordpress:
dbdata:
networks:
app-network:
driver: bridge其中volumes用于定义数据卷，可用于在容器之间共享文件，networks可以定义容器之间的通信网络，使容器之间可以互相通信。
最后完成的docker-compose.yml文件应如下：
version: '3'
services:
db:
image: mysql
container_name: db
volumes:
- dbdata:/var/lib/mysql
restart: unless-stopped
env_file: .env
environment:
- MYSQL_DATABASE=wordpress
command: '--default-authentication-plugin=mysql_native_password'
networks:
- app-network
wordpress:
depends_on:
- db
image: wordpress:fpm
container_name: wordpress
restart: unless-stopped
env_file: .env
environment:
- WORDPRESS_DB_HOST=db:3306
- WORDPRESS_DB_NAME=wordpress
- WORDPRESS_DB_USER=$MYSQL_USER
- WORDPRESS_DB_PASSWORD=$MYSQL_PASSWORD
volumes:
- wordpress:/var/www/html
networks:
- app-network
webserver:
depends_on:
- wordpress
image: nginx
container_name: webserver
restart: unless-stopped
ports:
- "80:80"
- "443:443"
volumes:
- wordpress:/var/www/html
- ./nginx-conf:/etc/nginx/conf.d
- certbot-etc:/etc/letsencrypt
networks:
- app-network
certbot:
depends_on:
- webserver
image: certbot/certbot
container_name: certbot
volumes:
- certbot-etc:/etc/letsencrypt
- wordpress:/var/www/html
command: certonly --webroot --webroot-path=/var/www/html --email [email protected] --agree-tos --no-eff-email --staging -d example.com
volumes:
certbot-etc:
wordpress:
dbdata:
networks:
app-network:
driver: bridge运行容器
在docker-compose.yml文件所在的文件夹内，执行如下命令来运行容器：
docker-compose up -d如果配置正确的话，可以看到输出以下信息：
Creating db ... done
Creating wordpress ... done
Creating webserver ... done
Creating certbot ... done使用docker-compose ps来查看docker运行状态：
docker-compose ps如果运行正常的话会返回如下结果：
Name Command State Ports
-------------------------------------------------------------------------
certbot certbot certonly --webroot ... Exit 0
db docker-entrypoint.sh --def ... Up 3306/tcp, 33060/tcp
webserver nginx -g daemon off; Up 0.0.0.0:80->80/tcp
wordpress docker-entrypoint.sh php-fpm Up 9000/tcp 如果db wordpress webserver的State列不是中的状态不是Up或者certbot的退出状态不是0的话，可以使用下列命令来查看日志：
docker-compose logs service_name其中service_name为要查看的容器名称。
接下来，可以使用下列命令来查看证书是否安装成功：
docker-compose exec webserver ls -la /etc/letsencrypt/live如果证书申请成功的话会看到以下内容：
total 16
drwx------ 3 root root 4096 May 10 15:45 .
drwxr-xr-x 9 root root 4096 May 10 15:45 ..
-rw-r--r-- 1 root root 740 May 10 15:45 README
drwxr-xr-x 2 root root 4096 May 10 15:45 example.com这说明证书申请成功，现在应该编辑docker-compose.yml文件，将certbot的command选项里面的--staging替换为--force-renewal，替换之后应如下所示：
certbot:
depends_on:
- webserver
image: certbot/certbot
container_name: certbot
volumes:
- certbot-etc:/etc/letsencrypt
- wordpress:/var/www/html
command: certonly --webroot --webroot-path=/var/www/html --email [email protected] --agree-tos --no-eff-email --force-renewal -d example.com接下来重新运行certbot：
docker-compose up --force-recreate --no-deps certbot如果输出如下内容，说明证书申请成功：
Recreating certbot ... done
Attaching to certbot
certbot | Saving debug log to /var/log/letsencrypt/letsencrypt.log
certbot | Plugins selected: Authenticator webroot, Installer None
certbot | Renewing an existing certificate
certbot | Performing the following challenges:
certbot | http-01 challenge for example.com
certbot | http-01 challenge for www.example.com
certbot | Using the webroot path /var/www/html for all unmatched domains.
certbot | Waiting for verification...
certbot | Cleaning up challenges
certbot | IMPORTANT NOTES:
certbot | - Congratulations! Your certificate and chain have been saved at:
certbot | /etc/letsencrypt/live/example.com/fullchain.pem
certbot | Your key file has been saved at:
certbot | /etc/letsencrypt/live/example.com/privkey.pem
certbot | Your cert will expire on 2019-08-08. To obtain a new or tweaked
certbot | version of this certificate in the future, simply run certbot
certbot | again. To non-interactively renew *all* of your certificates, run
certbot | "certbot renew"
certbot | - Your account credentials have been saved in your Certbot
certbot | configuration directory at /etc/letsencrypt. You should make a
certbot | secure backup of this folder now. This configuration directory will
certbot | also contain certificates and private keys obtained by Certbot so
certbot | making regular backups of this folder is ideal.
certbot | - If you like Certbot, please consider supporting our work by:
certbot |
certbot | Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
certbot | Donating to EFF: https://eff.org/donate-le
certbot |
certbot exited with code 0修改Web服务器来开启HTTPS
首先应先停止Nginx服务：
docker-compose stop webserver使用curl来下载Certbot推荐的Nginx参数：
curl -sSLo nginx-conf/options-ssl-nginx.conf https://raw.githubusercontent.com/certbot/certbot/master/certbot-nginx/certbot_nginx/_internal/tls_configs/options-ssl-nginx.conf以上命令会在nginx-conf文件夹中创建一个文件名为options-ssl-nginx.conf文件。
接下来编辑nginx.conf文件：
vim nginx.conf将文件内容替换为如下内容：
server {
listen 80;
listen [::]:80;
server_name example.com www.example.com;
location ~ /.well-known/acme-challenge {
allow all;
root /var/www/html;
}
location / {
rewrite ^ https://$host$request_uri? permanent;
}
}
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name example.com www.example.com;
index index.php index.html index.htm;
root /var/www/html;
server_tokens off;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
include /etc/nginx/conf.d/options-ssl-nginx.conf;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "no-referrer-when-downgrade" always;
add_header Content-Security-Policy "default-src * data: 'unsafe-eval' 'unsafe-inline'" always;
# add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
# enable strict transport security only if you understand the implications
location / {
try_files $uri $uri/ /index.php$is_args$args;
}
location ~ \.php$ {
try_files $uri =404;
fastcgi_split_path_info ^(.+\.php)(/.+)$;
fastcgi_pass wordpress:9000;
fastcgi_index index.php;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
}
location ~ /\.ht {
deny all;
}
location = /favicon.ico {
log_not_found off; access_log off;
}
location = /robots.txt {
log_not_found off; access_log off; allow all;
}
location ~* \.(css|gif|ico|jpeg|jpg|js|png)$ {
expires max;
log_not_found off;
}
}和之前一样，将example.com替换为要使用的域名。
编辑完成之后保存文件，并重新运行webserver容器：
docker-compose up -d --force-recreate --no-deps webserver再次使用docker-compose ps命令来检查容器运行状态：
docker-compose ps正常情况下会返回如下内容：
Name Command State Ports
-----------------------------------------------------------------------------------
certbot certbot certonly --webroot ... Exit 0
db docker-entrypoint.sh --def ... Up 3306/tcp, 33060/tcp
webserver nginx -g daemon off; Up 0.0.0.0:443->443/tcp, 0.0.0.0:80->80/tcp
wordpress docker-entrypoint.sh php-fpm Up 9000/tcp 安装wordPress
现在，使用浏览器访问设置好的域名，就可以看到WordPress的安装界面。
首先在安装界面内选择要使用的语言，然后点击继续。
接下来需要输入网站的名称，用户名和密码以及电子邮件，也可以使用WordPress自动生成的强密码。最后还可以选择是否让搜索引擎来搜索这个网站。都设置完成后点击安装，安装完成之后会提示进行登录。
登录完成之后，WordPress就安装完毕。
设置证书自动更新
因为之前使用的Let‘s Encrypt证书的有效期只有90天，所以需要为设置自动更新来确保证书不会失效。
用cron可以定期运行脚本来使Certbot定期更新Let‘s Encrypt证书。
创建一个脚本：
vim ssl_renew.sh在里面写入如下内容：
#!/bin/bash
COMPOSE="/usr/local/bin/docker-compose --no-ansi"
DOCKER="/usr/bin/docker"
cd /home/user/wordpress/
$COMPOSE run certbot renew --dry-run && $COMPOSE kill -s SIGHUP webserver
$DOCKER system prune -af这个脚本可以通过docker-compose来使certbot更新证书并重新加载nginx的配置。其中/home/user/wordpress/是存放配置文件的文件夹，应更换为实际存放的位置。--dry-run参数则是用于测试更新过程。
编辑完成后保存，然后为脚本增加执行权限：
chmod +x ssl_renew.sh完成之后使用crontab来使脚本重复运行：
sudo crontab -e如果第一次使用的话会出现选择编辑的界面，选择最顺手的就可以：
no crontab for root - using an empty one
Select an editor. To change later, run 'select-editor'.
1. /bin/nano <---- easiest
2. /usr/bin/vim.basic
3. /usr/bin/vim.tiny
4. /bin/ed
Choose 1-4 [1]:进入编辑器后，在文件最后添加以下内容：
*/5 * * * * /home/sammy/wordpress/ssl_renew.sh >> /var/log/cron.log 2>&1其中最开始的*/5 * * * *为执行时间的设置，从左到右分别为分钟，小时，日期，月份，星期。其中符号含义如下
- *：表示所有可能的值；
- , ：用逗号隔开的值表示列表范围，如“1,3,5,7”；
- -：横线表示范围，如2-6；
- /：表示间隔频率，可以和*同时使用如2-8/2或*/2
后面为要执行的命令，这里表示为每5分钟执行一次命令。
等待5分钟后，检查一下/var/log/cron.log文件来验证更新是否成功：
tail -f /var/log/cron.log如果输出如下内容，说明更新成功：
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
** DRY RUN: simulating 'certbot renew' close to cert expiry
** (The test certificates below have not been saved.)
Congratulations, all renewals succeeded. The following certs have been renewed:
/etc/letsencrypt/live/example.com/fullchain.pem (success)
** DRY RUN: simulating 'certbot renew' close to cert expiry
** (The test certificates above have not been saved.)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -成功之后重新设置自动更新的间隔，如每月1日自动检查更新：
0 0 1 * * /home/sammy/wordpress/ssl_renew.sh >> /var/log/cron.log 2>&1之后编辑自动更新脚本，删除其中的测试选项--dry-run：
#!/bin/bash
COMPOSE="/usr/local/bin/docker-compose --no-ansi"
DOCKER="/usr/bin/docker"
cd /home/sammy/wordpress/
$COMPOSE run certbot renew && $COMPOSE kill -s SIGHUP webserver
$DOCKER system prune -af到这里，WordPress就正式安装完成了。
参考
How To Install WordPress With Docker Compose
NameSilo推广链接：
Comments NOTHING