使用 systemd 的网络绑定功能

Question 1

我知道这不完全是您想要的，并且为难题添加了“另一块拼图”，但您可以考虑创建一个 systemd .service 文件并将应用程序监听端口移动到>1023（这允许非 root 绑定到它），然后创建一个 iptables 规则，将所有流量从端口 443 重定向到您的新自定义端口，如下所示：

iptables -t nat -A PREROUTING -i <incoming_interface> -p tcp --dport 443 -j REDIRECT --to-port 8443

在此示例中，所有到端口 443 的 TCP 流量将透明地重定向到端口 8443。

Answer

我知道这不完全是您想要的，并且为难题添加了“另一块拼图”，但您可以考虑创建一个 systemd .service 文件并将应用程序监听端口移动到>1023（这允许非 root 绑定到它），然后创建一个 iptables 规则，将所有流量从端口 443 重定向到您的新自定义端口，如下所示：

iptables -t nat -A PREROUTING -i <incoming_interface> -p tcp --dport 443 -j REDIRECT --to-port 8443

在此示例中，所有到端口 443 的 TCP 流量将透明地重定向到端口 8443。

Question 2

原因解决方案 1：使用 systemd 套接字不起作用的原因是必须构建二进制文件以接受来自 systemd 的套接字。不幸的是，它不能“正常工作”。

Systemd 将套接字作为文件描述符 3 传递（在 stdin、stdout、stderr 之后）。下面是一个示例程序（来自我的此处发布博客文章）

package main

import (
    "log"
    "net"
    "net/http"
    "os"
    "strconv"
)

func main() {
    http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
        w.Write([]byte("Hello World!"))
    })

    if os.Getenv("LISTEN_PID") == strconv.Itoa(os.Getpid()) {
        // systemd run
        f := os.NewFile(3, "from systemd")
        l, err := net.FileListener(f)
        if err != nil {
            log.Fatal(err)
        }
        http.Serve(l, nil)
    } else {
        // manual run
        log.Fatal(http.ListenAndServe(":8080", nil))
    }
}

您必须要求金鱼添加支持。

对于 systemd 功能（解决方案 2），我不知道，但可能您也需要SecureBits=keep-caps？systemd 应该会自动设置，但也许您的 systemd 版本（8 个月前）没有？Vault 使用它：https://learn.hashicorp.com/vault/operations/ops-deployment-guide#step-3-configure-systemd

另一个选择是使用 SELinux，尽管这可能是“现在你有两个问题”。

就你的情况而言，我个人认为应该将 nginx 放在前面。你最后做了什么？

Answer