98 lines
3.3 KiB
Plaintext
98 lines
3.3 KiB
Plaintext
# EK-DOS-WEB
|
|
#
|
|
# nginx macht beides: es liefert das statisch gebaute React-Bündel aus und
|
|
# reicht ausschliesslich /api/ an php-fpm weiter. Auf dem Server läuft kein
|
|
# Node und kein Anwendungsserver -- nur nginx und php8.5-fpm.
|
|
#
|
|
# Ablage: /etc/nginx/sites-available/ekdos.conf -> sites-enabled/
|
|
# Prüfen: nginx -t && systemctl reload nginx
|
|
|
|
upstream ekdos_php {
|
|
# Unix-Socket statt TCP: kein Netzwerkstack, keine offene Portnummer.
|
|
server unix:/run/php/ekdos.sock;
|
|
}
|
|
|
|
server {
|
|
listen 80;
|
|
listen [::]:80;
|
|
server_name schulung.elektro-krueger.local;
|
|
|
|
# Hinter einem TLS-Terminator (Cloudflare, vorgelagertes nginx) diesen Block
|
|
# entfernen und stattdessen den 443-Block unten verwenden.
|
|
return 301 https://$host$request_uri;
|
|
}
|
|
|
|
server {
|
|
listen 443 ssl;
|
|
listen [::]:443 ssl;
|
|
http2 on;
|
|
server_name schulung.elektro-krueger.local;
|
|
|
|
ssl_certificate /etc/ssl/ekdos/fullchain.pem;
|
|
ssl_certificate_key /etc/ssl/ekdos/privkey.pem;
|
|
ssl_protocols TLSv1.2 TLSv1.3;
|
|
|
|
# Das gebaute Bündel aus dem Gitea-Lauf.
|
|
root /var/www/ekdos/current;
|
|
index index.html;
|
|
|
|
# Die Anwendung ist intern; sie gehört in keinen Suchindex.
|
|
add_header X-Robots-Tag "noindex, nofollow" always;
|
|
add_header X-Content-Type-Options "nosniff" always;
|
|
add_header X-Frame-Options "SAMEORIGIN" always;
|
|
add_header Referrer-Policy "same-origin" always;
|
|
|
|
# Rechnungen und Serviceberichte sind mehrere Megabyte gross.
|
|
client_max_body_size 32m;
|
|
|
|
# ── Statische Oberfläche ──────────────────────────────────────────────
|
|
# Vite vergibt Inhaltshashes, deshalb dürfen die Bündel dauerhaft im Cache
|
|
# liegen. Nur index.html darf das nicht, sonst sieht niemand ein Update.
|
|
location /assets/ {
|
|
expires 1y;
|
|
add_header Cache-Control "public, immutable";
|
|
try_files $uri =404;
|
|
}
|
|
|
|
location = /index.html {
|
|
add_header Cache-Control "no-store";
|
|
}
|
|
|
|
# Einseitenanwendung: jede unbekannte Adresse bekommt index.html.
|
|
location / {
|
|
try_files $uri $uri/ /index.html;
|
|
}
|
|
|
|
# ── Backend ───────────────────────────────────────────────────────────
|
|
location /api/ {
|
|
include fastcgi_params;
|
|
fastcgi_pass ekdos_php;
|
|
|
|
# Einziger Einstiegspunkt. Es gibt keine weiteren .php-Dateien im Web.
|
|
fastcgi_param SCRIPT_FILENAME /var/www/ekdos/backend/public/index.php;
|
|
fastcgi_param SCRIPT_NAME /index.php;
|
|
fastcgi_param DOCUMENT_ROOT /var/www/ekdos/backend/public;
|
|
|
|
# Der Rechnungsabgleich und grosse PDFs brauchen Luft.
|
|
fastcgi_read_timeout 60s;
|
|
fastcgi_buffering off;
|
|
|
|
# Damit die Anmeldebremse die echte Adresse sieht.
|
|
fastcgi_param HTTP_X_FORWARDED_FOR $proxy_add_x_forwarded_for;
|
|
fastcgi_param HTTPS on;
|
|
}
|
|
|
|
# PHP wird nirgendwo sonst ausgeführt.
|
|
location ~ \.php$ {
|
|
return 404;
|
|
}
|
|
|
|
# Punktdateien bleiben unerreichbar (.env, .git und Ähnliches).
|
|
location ~ /\. {
|
|
deny all;
|
|
}
|
|
|
|
access_log /var/log/nginx/ekdos.access.log;
|
|
error_log /var/log/nginx/ekdos.error.log warn;
|
|
}
|