nginx + tailscale + https 配置教程

sudo systemctl stop apache2
sudo apt remove apache2
sudo apt autoremove

sudo apt update && sudo apt install nginx -y
sudo systemctl enable --now nginx
sudo systemctl status nginx

sudo tailscale cert \
--cert-file /etc/ssl/certs/你的设备名.你的tailnet名.ts.net.crt \
--key-file /etc/ssl/private/你的设备名.你的tailnet名.ts.net.key \
你的设备名.你的tailnet名.ts.net

sudo chmod 600 /etc/ssl/private/你的设备名.你的tailnet名.ts.net.key

sudo touch /etc/nginx/sites-available/tailscale
sudo vim /etc/nginx/sites-available/tailscale

# 文件路径: /etc/nginx/sites-available/tailscale
# 假设你的 Tailscale 设备名为 "mydevice"，tailnet 名为 "example.ts.net"
# 则完整域名为: mydevice.example.ts.net

# ------------------------------------------------------------
# 1. HTTP 服务：将所有请求重定向到 HTTPS
# ------------------------------------------------------------
server {
    listen 80;
    listen [::]:80;                     # 支持 IPv6
    server_name mydevice.example.ts.net;  # 请修改为你的 Tailscale 域名

    # 可选：如果需要处理 Let's Encrypt 验证等特殊路径，可以单独放行
    # location ^~ /.well-known/acme-challenge/ {
    #     root /var/www/html;
    # }

    # 所有其他请求永久重定向到 HTTPS 的相同 URI
    return 301 https://$host$request_uri;
}

# ------------------------------------------------------------
# 2. HTTPS 服务：提供网站内容或反向代理
# ------------------------------------------------------------
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name mydevice.example.ts.net;  # 请修改为你的 Tailscale 域名
    http2 on;

    # ---------- SSL 证书配置 ----------
    # 使用 tailscale cert 命令生成的证书路径（请修改）
    ssl_certificate     /etc/ssl/certs/mydevice.example.ts.net.crt;
    ssl_certificate_key /etc/ssl/private/mydevice.example.ts.net.key;

    # 强化的 SSL 配置（推荐）
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers off;
    ssl_session_timeout 1d;
    ssl_session_cache shared:MozSSL:10m;

    # ---------- 安全头（可选但推荐） ----------
    add_header Strict-Transport-Security "max-age=63072000" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;

    # ---------- 静态网站配置（按需修改） ----------
    root /var/www/html;   # 请修改为实际的网站根目录
    index index.html index.htm;

    # ---------- 通用 location 处理 ----------
    location / {
        try_files $uri $uri/ =404;           # 先尝试文件，找不到返回 404
    }

    # ---------- 可选：反向代理到本地后端（如果你需要代理，请取消注释并注释掉上面的 location /） ----------
    # location / {
    #     proxy_pass http://127.0.0.1:8080;            # 请修改为你的后端地址
    #     proxy_http_version 1.1;
    #     proxy_set_header Upgrade $http_upgrade;
    #     proxy_set_header Connection "upgrade";
    #     proxy_set_header Host $host;
    #     proxy_set_header X-Real-IP $remote_addr;
    #     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    #     proxy_set_header X-Forwarded-Proto $scheme;
    # }

    # ---------- 静态资源缓存（优化性能） ----------
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|svg|woff2?|ttf|eot)$ {
        expires 30d;
        add_header Cache-Control "public, immutable";
    }
    # ---------- 访问限制（可选，仅允许 Tailscale 内网访问） ----------
    # 注意：Tailscale 证书本身已是私有网络认证，如需额外限制可启用以下配置
    # allow 100.64.0.0/10;   # Tailscale 使用的 CGNAT 地址段
    # deny all;
}

sudo ln -sf /etc/nginx/sites-available/tailscale /etc/nginx/sites-enabled/

sudo nginx -t && sudo systemctl reload nginx

sudo mv index.html /var/www/html/
sudo chown www-data:www-data /var/www/html/index.html

sudo mv dist /var/www/html/
sudo chown www-data:www-data -R /var/www/html/dist