从 Nginx 迁移到 Caddy

After

我的家庭内网是在 2024 年搭建的，当时为了给 Nginx 反代配置 h3 和 https 证书自动更新，费了好大一番手脚。尤其是这个 https 证书自动更新，更是让我吃了一番苦头。

刚开始我便尝试使用过 Traefik 和 Caddy，因为它们两可以自动托管并更新 https 证书。我的域名托管在 Cloudflare 上，因此需要通过 DNS-01 来生成证书。

但在初期的部署过程中，Traefik、Caddy、ACME.sh 都存在获取不到 DNS 记录导致超时的问题，我百般排查不得其解。

排查良久后认为是 DNS 的问题，使用 AI 结合 go-acme 做了一个生成 https 证书的网关程序：https://github.com/vhvy/acme-gateway-go 。

原理也很简单，在 Docker 容器内通过 iptables 劫持 lego 客户端的 DNS 请求，强制递归转发给 Cloudflare 的 DoH，以便获取最新的 DNS 记录信息。

问题虽然是解决了，但我总觉得这套配置太过冗余，直到前不久，我发现了 Caddy 的 propagation_timeout 参数。

Before

Caddy 的 propagation_timeout 参数可以跳过 DNS 传播检查，直接让 ACME 服务器去 Cloudflare 那边查询，免去了本地 DNS 各种异常的问题。

说干就干，结合 AI 花了半小时将 Nginx 迁移到了 Caddy，不得不说 Caddy 的配置真的是简洁，h3、websockets 不用任何额外配置，https 证书续期配置也非常方便，Caddy 真好用！

需要注意的是，Caddy 没有直接集成 Cloudflare 的 DNS Challenge 服务，需要手动编译，或者使用社区提供的 Docker 镜像： ghcr.io/caddy-dns/cloudflare

在内网环境下，还可以使用静态文件服务提供生成的泛域名证书，让一些不需要反代的服务如 Mikrotik Web 服务、群晖 NAS 等也可以方便的定时拉取并更新证书。

这里贴一下我的大概配置：

Docker compose 配置文件：

yaml

services:
  caddy:
    image: ghcr.io/caddy-dns/cloudflare:v0.2.4
    container_name: caddy
    restart: unless-stopped
    network_mode: host
    env_file: ./.env
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - ./data:/data
      - ./config:/config

Caddy 配置文件：

nginx

{
  email example@example.com
}

(cf) {
  tls {
    dns cloudflare {env.CF_API_TOKEN}
    propagation_delay 60s
    propagation_timeout -1
  }
}

(insecure_tls) {
  transport http {
    tls_insecure_skip_verify
  }
}

*.example.com {
  import cf
  abort
}

demo.example.com {
  reverse_proxy 192.168.1.111:36180
}

demo2.example.com {
  redir / /web 301
  reverse_proxy https://192.168.1.112:44233 {
    import insecure_tls
  }
}

# curl https://ssl.example.com/example.com/cert.key
# curl https://ssl.example.com/example.com/cert.crt

ssl.example.com {
  root * /data/caddy/certificates/acme-v02.api.letsencrypt.org-directory

  @cert {
    remote_ip 192.168.1.0/24
    header X-Token "THISISMYTOKEN"
    path_regexp c ^/([^/]+)/cert\.(crt|key)$
  }

  handle @cert {
    rewrite * /wildcard_.{re.c.1}/wildcard_.{re.c.1}.{re.c.2}
    file_server
  }

  handle {
    respond 404
  }
}