From c25d70a0c780db75e8bf63878b11e1d3a8e0ba97 Mon Sep 17 00:00:00 2001 From: MrEgosar Date: Thu, 29 Oct 2026 07:32:10 +0100 Subject: [PATCH] Wiki: Reverse-Proxy --- Home.md | 1 + Reverse-Proxy.md | 38 ++++++++++++++++++++++++++++++++++++++ 2 files changed, 39 insertions(+) create mode 100644 Reverse-Proxy.md diff --git a/Home.md b/Home.md index 01763bb..402cd18 100644 --- a/Home.md +++ b/Home.md @@ -13,6 +13,7 @@ Diese Seiten erklären den Betrieb und die Bedienung der Match-Verwaltung für C - [Turnierregeln](Turnierregeln) – Serverwerte nach FACEIT- und ESL-Richtwerten - [Admin-Bereich und Rollback](Admin-Bereich-und-Rollback) – Verwaltung aller Matches, Rundenrücksprung - [Docker-Betrieb](Docker-Betrieb) – CS2-Server als Container auf einem Docker-Host +- [Reverse-Proxy](Reverse-Proxy) – Webseite per HTTPS unter eigener Domain ## Stand diff --git a/Reverse-Proxy.md b/Reverse-Proxy.md new file mode 100644 index 0000000..266199d --- /dev/null +++ b/Reverse-Proxy.md @@ -0,0 +1,38 @@ +# Reverse-Proxy + +Die Webseite lässt sich hinter einen Reverse-Proxy wie nginx, Caddy oder Traefik stellen, etwa um sie per HTTPS unter einer eigenen Adresse anzubieten. + +- **Eigene (Sub-)Domain, kein Unterpfad.** Die Anwendung nutzt absolute Pfade (`/api`, `/socket.io`, `/stream`, `/admin`). Unter einem Unterpfad wie `example.de/veto/` funktioniert sie nicht. Nimm eine eigene Subdomain, z. B. `veto.example.de`. +- **WebSockets durchreichen.** Die Live-Updates laufen über Socket.IO. Der Proxy muss den `Upgrade`-Header weitergeben, sonst bleibt die Seite bei „Verbinde mit Lobby“ hängen. +- **`.env` anpassen:** + - `PUBLIC_URL=https://veto.example.de`, damit Einladungs- und Stream-Links stimmen + - `TRUST_PROXY=true`, damit die Begrenzung der Anmeldeversuche die echte Client-IP sieht und nicht die des Proxys +- **Nicht über den Proxy:** + - Die CS2-Spielverbindungen laufen per UDP direkt zum Docker-Host. Für Spieler aus dem Internet braucht es dort Portfreigaben und einen GSLT (`CS2_GSLT`). + - Die Logs der CS2-Server können weiter über das LAN kommen. `LOG_RECEIVER_URL` bleibt dann z. B. `http://192.168.178.31:3000`. +- **Vor dem Freigeben absichern:** Öffentlich erreichbar sind dann auch `/admin` und, ohne Schlüssel, die Stream-Übersicht. Setze ein starkes `ADMIN_PASSWORD` und einen `STREAM_KEY`. + +Beispiel für nginx: + +```nginx +server { + listen 443 ssl http2; + server_name veto.example.de; + + ssl_certificate /etc/letsencrypt/live/veto.example.de/fullchain.pem; + ssl_certificate_key /etc/letsencrypt/live/veto.example.de/privkey.pem; + + location / { + proxy_pass http://192.168.178.31:3000; + proxy_http_version 1.1; + proxy_set_header Upgrade $http_upgrade; + proxy_set_header Connection "upgrade"; + proxy_set_header Host $host; + proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; + proxy_set_header X-Forwarded-Proto $scheme; + proxy_read_timeout 1h; + } +} +``` + +Ein `502 Bad Gateway` vom Proxy heißt, dass er die Anwendung unter `proxy_pass` nicht erreicht: Sie läuft nicht, oder Adresse bzw. Port stimmen nicht.