Проблемы с принудительным HTTPS, прокси и приглашениями

Поддержка
1

Мой экземпляр Discourse находится за прокси:

server {
    server_name форум.[...];

    location / {
        proxy_pass http://IP_ADDRESS;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_redirect off;

    }

    client_max_body_size 10m;

    listen 443 ssl; # управляется Certbot
    ssl_certificate /etc/letsencrypt/live/форум.[...]/fullchain.pem; # управляется Certbot
    ssl_certificate_key /etc/letsencrypt/live/форум.[...]/privkey.pem; # управляется Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # управляется Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # управляется Certbot

}
server {
    if ($host = форум.[...]) {
        return 301 https://$host$request_uri;
    } # управляется Certbot

    server_name форум.smbcn.org;

    listen 80;
    return 404; # управляется Certbot

}

Это приводит к серверу, на котором установлен Discourse (стандартная установка Docker):

server {
        listen 80; listen [::]:80;
        server_name форум.[...];

        client_max_body_size 10m;

        location / {
                proxy_pass http://unix:/var/discourse/shared/standalone/nginx.http.sock:;
                proxy_set_header Host $http_host;
                proxy_http_version 1.1;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header X-Forwarded-Proto $scheme;
                proxy_set_header X-Real-IP $remote_addr;
        }
}

Когда я принудительно включаю HTTPS, приглашённые пользователи не могут перейти к регистрации. В логах браузера отображается ошибка 403 (плохой CSRF), хотя токен CSRF был успешно сгенерирован. Приглашения работают нормально, когда принудительный HTTPS не включён.

Думаю, проблема в том, как я проксирую HTTPS-запросы на HTTP, возможно, отсутствуют какие-то заголовки?

2

Похоже, я упускаю что-то важное. Невозможность принудительного использования HTTPS означает, что логотип не может отображаться (на данный момент это не так критично). Сегодня я также обнаружил ошибку, связанную с CSRF («forbidden»), когда пытаюсь удалить задачу в Sidekiq. Вот что я нашел в файле /var/discourse/shared/standalone/log/rails/unicorn.stderr.log:

WARN – : атака предотвращена Rack::Protection::HttpOrigin

Я чувствую себя довольно беспомощным, любая помощь будет крайне признательна.

3

Возможно, вам просто нужно включить принудительный HTTPS на вашем фронт-прокси и отключить его в Discourse.

4

@hawm Я думаю, это моя текущая конфигурация.

5

Как вы устанавливаете переменную $scheme?

6

Я не устанавливаю её, полагаю, я полагаюсь на значение по умолчанию. Это неправильно?

7

Если вы используете прокси, это может пойти не так. По моему опыту, это причина №1 описываемых вами проблем. Попробуйте установить значение «https» вместо этого (возможно, просто пропустите переменную и впишите туда «https»).

8

@michaeld да! Ты всё правильно понял! Большое спасибо!