Dać Bezpiecznemu Użytkownikowi Uprawnienia Do Korzystania Z Portu 80

Pamiętaj, że nie chcemy uruchamiać aplikacji jako użytkownik root, ale jest pewien problem: twój bezpieczny użytkownik nie ma uprawnień do używania domyślnego portu HTTP (80). Celem jest możliwość publikowania strony internetowej, z której odwiedzający mogą korzystać, przechodząc do łatwego w użyciu adresu URL, takiego jak http://ip:port/

Niestety, jeśli nie zalogujesz się jako root, zwykle będziesz musiał użyć adresu URL, takiego jak http://ip:port - Gdzie numer portu > 1024.

Wiele osób dostaje utknął tutaj, ale rozwiązanie jest łatwe. Jest kilka opcji, ale to jest ten, który lubię. Wpisz następujące polecenia:

sudo apt-get install libcap2-bin
sudo setcap cap_net_bind_service=+ep `readlink -f \`which node\``

Teraz, kiedy powiesz aplikacji węzła, że chcesz, aby działała na porcie 80, nie będzie narzekać.

Sprawdź to odnośnik

Upuść uprawnienia roota po powiązaniu z portem 80 (lub 443).

Pozwala to port 80/443 pozostać chroniony, jednocześnie uniemożliwiając obsługę żądań jako root:

function drop_root() {
    process.setgid('nobody');
    process.setuid('nobody');
}

Pełny przykład pracy przy użyciu powyższej funkcji:

var process = require('process');
var http = require('http');
var server = http.createServer(function(req, res) {
    res.write("Success!");
    res.end();
});

server.listen(80, null, null, function() {
    console.log('User ID:',process.getuid()+', Group ID:',process.getgid());
    drop_root();
    console.log('User ID:',process.getuid()+', Group ID:',process.getgid());
});

Zobacz więcej szczegółów w tym pełne odniesienie.

Dla Portu 80 (co było pierwotnym pytaniem), Daniel ma rację. Ostatnio przeniosłem się do https i musiałem przełączyć się z iptables na lekki serwer proxy nginx zarządzający certami SSL. Znalazłem przydatną odpowiedź wraz z gist przez gabrielhpugliese Jak sobie z tym poradzić. Zasadniczo I

• Utworzenie żądania podpisania certyfikatu SSL (CSR) poprzez OpenSSL

  openssl genrsa 2048 > private-key.pem
  openssl req -new -key private-key.pem -out csr.pem
  

• otrzymałem prawdziwy cert od jednego z tych miejsca (zdarzyło mi się użyć Comodo )
• zainstalowano nginx

• Zmieniono location w /etc/nginx/conf.d/example_ssl.conf na

  location / {
      proxy_pass http://localhost:3000;
      proxy_set_header X-Real-IP $remote_addr;
  }
  

• W związku z tym, że nginx nie jest w stanie zapewnić dostępu do Internetu, nie jest w stanie zapewnić dostępu do Internetu i nie jest w stanie zapewnić dostępu do Internetu...)

  ssl_certificate /etc/nginx/ssl/cert_bundle.cert;
  ssl_certificate_key /etc/nginx/ssl/private-key.pem;
  

Czy Linode udostępnia jakąś "front wall" lub firewall gdzie trzeba otworzyć port dla maszyny? Może będzie to dobre miejsce, aby znaleźć lepsze rozwiązanie niż routing na każdej maszynie? Gdy wdrażam serwer na platformie Azure, muszę zdefiniować tzw. punkty końcowe. Endpoint zawiera port publiczny, Port prywatny (na komputerze) i protokół (TCP / UDP). Więc jeśli używasz aplikacji na porcie 3000 na serwerze, jest ona osiągalna na porcie 80, a routing jest wykonywany przez Platformę, a nie maszynę. Mogę również ustawić ACLs na punktach końcowych.