Caddy という web server がデフォルトTLSというポリシーで、Let’s Encrypt を簡単に設定出来て、証明書の自動更新をしてくれるようだったので使ってみた。Let’s Encrypt は無料でTLS証明書使えるサービスです。
VultrのVPSを使ってみたら、DocumentsにCaddyのインストールについて載ってたので知りました。Vultr の Tokyo リージョン良さそうですね。
Caddy のインストール
https://caddyserver.com/download から、ダウンロードするとバイナリが落ちてくるので、それを実行するだけです。バイナリ生成時に、Select Features として、追加機能を入れる事ができます。
Caddy の設定
/path/to/caddy.conf
hoge.example.com {
tls hoge@example.com
}
最小構成だと、ドメインに対して自分のメールアドレスを設定したら動くみたいです。ecpplus.net
のドメインだと動いたけれど、 ecp.plus
のドメインだと動かなかった。あまり調べていないけれど、Let’s Encrypt 側で何かやる必要がありそう。
Caddy の起動
80, 443 ポートをListenするので、setcap しておくか、sudo での実行が必要です。
sudo setcap cap_net_bind_service=+ep /path/to/caddy
/path/to/caddy --conf /path/to/caddy.conf -agree=true
-agree
は、Agree to Let’s Encrypt Subscriber Agreement で、-email
は Default Let’s Encrypt account email address とのことです。
これで、 https://hoge.example.com としてサーバが立ち上がります。http でアクセスしても自動的に https に遷移します。
Caddy のコマンド引数
$ caddy --help
Usage of caddy:
-agree=false: Agree to Let's Encrypt Subscriber Agreement
-ca="https://acme-v01.api.letsencrypt.org/directory": Certificate authority ACME server
-conf="": Configuration file to use (default=Caddyfile)
-cpu="100%": CPU cap
-email="": Default Let's Encrypt account email address
-grace=5s: Maximum duration of graceful shutdown
-host="": Default host
-http2=true: HTTP/2 support
-log="": Process log file
-pidfile="": Path to write pid file
-port="2015": Default port
-quiet=false: Quiet mode (no initialization output)
-revoke="": Hostname for which to revoke the certificate
-root=".": Root path to default site
-version=false: Show version
Caddy の機能
https://caddyserver.com/docs に、ドキュメントがあります。
気になった機能
markdown
で、Caddy 自体が Markdown を HTML に変換してくれる。テンプレートの指定もできる。デフォルトで入ってるのは面白いかも。git
で、git push
で自動的にサイト更新出来るので、markdown
と合わせてお手軽なサイトに便利そう。gzip
は使えるぽいですが、キャッシュ系の機能はまだないっぽいので、現状だと別で用意する必要がありそうです。fastcgi
で指定すれば、裏でWordpressとか動かしても大丈夫そうです。proxy
でリバースプロキシの設定もできるので、Rails とか裏においても大丈夫そうです。websocket
で、WebSocket のコネクションが張られたときに実行するコマンドが指定できる。startup
,shutdown
で、起動・停止時に任意のコマンドを実行できる。例えば Rails のアプリケーションサーバを立ち上げるとか。
安いTLS証明書使ってたけど、失効したら乗り換えても良いかもという感じがしました。
Rails5 で使う場合
ActionCable 試してないけど、Websocket の設定も出来るので多分いけそう。とりあえず、 /assets /system だけ Caddy で返して、バックエンドは Unicorn とか Puma とかを 9292 番ポート動かしてる場合の設定例。proxy_header を適切に設定しないと、 redirect_to とかさせたときにおかしなことになるので注意。
example.com {
gzip
tls caddy@example.com
log /var/log/access.log
root /var/www/rails_root/current/public
proxy / localhost:9292 {
proxy_header Host {host}
proxy_header X-Real-IP {remote}
proxy_header X-Forwarded-Proto {scheme}
except /assets /system
}
}
Daemonize
caddy 自身ではデーモンとして起動出来ないようだ。 supervisord を使って daemon にしてみた。
/etc/supervisord.d/caddy.ini
[program:caddy]
command=/usr/local/bin/caddy -conf="/etc/Caddyfile" -agree=true
directory=/var/www/rails_root/current/public
autostart=true
user=root
redirect_stderr=true
stdout_logfile=/var/log/caddy.log
stderr_logfile=/var/log/caddyerr.log
/etc/supervisord.conf
[supervisord]
minfds=4096
caddy を起動するとき、少なくとも ulimit -n 4096
にしろと言われるので、supervisord の方で指定しておくと良い。