Stream (SNI-роутинг) в SWAG

**Stream** — это модуль nginx для работы на **L4 (TCP/UDP)** уровне, в отличие от стандартного `http` блока, который работает на **L7 (HTTP)** уровне.

29

30

### Ключевая возможность — `ssl_preread`

31

32

Модуль `ngx_stream_ssl_preread_module` позволяет читать **SNI (Server Name Indication)** из ClientHello пакета TLS **без расшифровки трафика**. Это даёт возможность маршрутизировать TCP-соединения на разные бекенды в зависимости от доменного имени, которое запрашивает клиент.

33

34

### Это НЕ то же самое, что http-проксирование

35

36

| Характеристика | `http { }` блок | `stream { }` блок |

37

| -------------------------- | ---------------- | --------------------------- |

38

| Уровень OSI | L7 (HTTP) | L4 (TCP/UDP) |

39

| Видит ли HTTP-заголовки | ✅ Да | ❌ Нет |

40

| Видит ли SNI | ✅ Да (после TLS) | ✅ Да (ssl_preread, без TLS) |

41

| Terminates TLS | ✅ Да | ❌ Нет (передаёт дальше) |

42

| Можно ли делать proxy_pass | ✅ Да | ✅ Да (TCP) |

---

## 2. Как это работает (схема)

47

48

┌─────────────────────────────────────────────────┐

49

│ SWAG Container │

50

│ │

51

Клиент ──── :443 ───► │ stream { │

52

(TLS ClientHello) │ ssl_preread on; ← читает SNI без decrypt │

53

│ map $ssl_preread_server_name $backend { │

54

│ nextcl.dev0ps.online → remnanode:8443 │

55

│ * (default) → 127.0.0.1:4443│

56

│ } │

57

│ proxy_pass $backend; │

│ } │

│ │ │ │

│ ▼ ▼ │

│ remnanode:8443 http { } :4443 │

62

│ (Reality/Xray, (SWAG, terminates │

63

│ TLS не трогаем) TLS, proxy_pass) │

64

│ │ │

65

│ ▼ │

66

│ site-confs/*.conf │

67

│ proxy-confs/*.conf │

68

└─────────────────────────────────────────────────┘

### Поток данных

1. **Клиент** подключается к порту **443**

73

1. **stream** блок принимает соединение и читает SNI из TLS ClientHello

74

1. **map** выбирает бекенд на основе SNI:

75

* `nextcl.dev0ps.online` → `remnanode:8443` (проксирует TCP как есть, TLS не трогается)

76

* всё остальное → `127.0.0.1:4443` (передаёт в http-блок SWAG)

77

1. **http** блок на порту **4443** терминирует TLS и делает HTTP-проксирование

---

## 3. Какие проблемы решает

82

83

### Проблема 1: Несколько TLS-сервисов на одном порту 443

84

85

Без stream — порт 443 занят SWAG. Reality/Xray или другой TLS-сервис не может слушать тот же порт.

86

87

**Решение:** stream маршрутизирует по SNI — разные домены идут на разные бекенды, все через один порт 443.

88

89

### Проблема 2: Reality/Xray нужен необработанный TLS

90

91

Reality протокол (Xray/VLESS) требует, чтобы TLS-соединение дошло до бекенда **без терминации**. SWAG не может его обработать — он терминирует TLS.

92

93

**Решение:** stream проксирует TCP-соединение как есть, не расшифровывая. Reality получает оригинальный TLS-трафик.

94

95

### Проблема 3: Нужен один IP для всего

96

97

На одном сервере работают и веб-сайты (SWAG), и VPN-протоколы (Reality). Оба требуют порт 443.

98

99

**Решение:** stream — единая точка входа на 443, маршрутизация по SNI.

---

## 4. Файловая структура — что куда класть

104

105

swag/nginx/

106

├── nginx.conf ← ГЛАВНЫЙ конфиг: добавить stream { } блок

107

├── stream.conf ← НОВЫЙ ФАЙЛ: SNI-роутинг (L4)

108

├── ssl.conf ← Без изменений

109

├── site-confs/

110

│ ├── default.conf ← ИЗМЕНИТЬ: listen 443 → listen 4443

111

│ └── dev0ps.online.conf ← ИЗМЕНИТЬ: listen 443 → listen 4443

112

└── proxy-confs/

113

└── *.subdomain.conf ← ИЗМЕНИТЬ: listen 443 → listen 4443

### Порядок действий

| Шаг | Файл | Действие |

118

| --- | -------------------- | -------------------------------------------------------- |

119

| 1 | `nginx.conf` | Добавить `stream { include /config/nginx/stream.conf; }` |

120

| 2 | `stream.conf` | Создать с SNI-роутингом |

121

| 3 | `default.conf` | Заменить `listen 443 ssl` → `listen 4443 ssl` |

122

| 4 | `site-confs/*.conf` | Заменить `listen 443 ssl` → `listen 4443 ssl` |

123

| 5 | `proxy-confs/*.conf` | Заменить `listen 443 ssl` → `listen 4443 ssl` |

---

## 5. Шаг 1: nginx.conf — добавить блок stream

128

129

**Файл:** `/config/nginx/nginx.conf`

130

131

Добавить блок `stream { }` **после закрывающей скобки `http { }`** и перед `daemon off;`:

132

133

```nginx

134

# ... (начало файла без изменений) ...

135

136

http {

137

# ... (существующая конфигурация http без изменений) ...

138

139

# Важно: все server{} внутри http должны слушать 4443, НЕ 443!

140

include /etc/nginx/http.d/*.conf;

141

include /config/nginx/site-confs/*.conf;

}

daemon off;

pid /run/nginx.pid;

# ═══════════════════════════════════════════════════════

148

# STREAM BLOCK — SNI-роутинг на L4 уровне

149

# ═══════════════════════════════════════════════════════

150

stream {

151

include /config/nginx/stream.conf;

}

```

### ⚠️ Критически важно

156

157

* `stream { }` должен быть **на верхнем уровне** (не внутри `http { }`!)

158

* `stream { }` и `http { }` — это **параллельные** блоки одного уровня

159

* Внутри `stream { }` **нельзя** использовать http-директивы (`server_name`, `location`, `proxy_set_header` и т.д.)

---

## 6. Шаг 2: stream.conf — SNI-роутинг

164

165

**Файл:** `/config/nginx/stream.conf` (создать новый)

166

167

### ✅ ПРАВИЛЬНЫЙ конфиг (боевой)

168

169

```nginx

170

# DNS-резолвер Docker (для динамического разрешения имён контейнеров)

171

resolver 127.0.0.11 valid=30s;

172

173

# SNI → backend mapping

174

# Адреса резолвятся через resolver ПРИ КАЖДОМ ЗАПРОСЕ,

175

# а не при загрузке конфига — nginx стартует даже если backend недоступен.

176

map $ssl_preread_server_name $backend {

177

nextcl.dev0ps.online remnanode:8443;

178

www.nextcl.dev0ps.online remnanode:8443;

179

default 127.0.0.1:4443;

}

server {

listen 443;

listen [::]:443;

ssl_preread on; # Читать SNI из TLS ClientHello без расшифровки

187

proxy_socket_keepalive on;

188

proxy_connect_timeout 10s;

proxy_timeout 3600s;

proxy_pass $backend;

}

```

### ❌ НЕПРАВИЛЬНО — upstream с доменным именем

196

197

```nginx

198

# ТАК НЕ ДЕЛАТЬ! Если remnanode недоступен при старте — nginx УПАДЁТ

199

upstream reality_backend {

200

server remnanode:8443; # ← ОШИБКА: DNS резолвится при загрузке конфига

201

}

202

203

map $ssl_preread_server_name $backend {

204

default reality_backend;

}

```

### Почему upstream ломает всё

209

210

В `stream { }` блоке `upstream` с доменным именем (не IP) заставляет nginx резолвить DNS **немедленно при загрузке конфигурации**. Если контейнер не запущен:

211

212

```

213

nginx: [emerg] host not found in upstream "remnanode:8443" in /config/nginx/stream.conf:4

214

```

215

216

→ **nginx не стартует** → **ВСЕ сайты недоступны**

217

218

### Почему map + resolver работает

219

220

Когда `proxy_pass` получает значение через **переменную** (`$backend`), nginx использует `resolver` для DNS-разрешения **во время запроса**, а не при загрузке. Если бекенд недоступен — только этот маршрут не работает, остальные сайты продолжают работать.

---

## 7. Шаг 3: default.conf — перевести http на порт 4443

225

226

**Файл:** `/config/nginx/site-confs/default.conf`

227

228

### Было (стандартный SWAG)

```nginx

server {

listen 443 ssl default_server;

233

listen [::]:443 ssl default_server;

# ...

}

```

### Стало (с stream)

```nginx

server {

listen 4443 ssl default_server;

243

listen [::]:4443 ssl default_server;

# ...

}

```

> **Полная замена:** везде в default.conf где `443` → заменить на `4443`.

249

>

250

> Порт 80 оставить без изменений (HTTP → HTTPS редирект).

---

## 8. Шаг 4: site-confs — все server слушают 4443

255

256

**Файлы:** `/config/nginx/site-confs/*.conf` и `/config/nginx/proxy-confs/*.conf`

### Было

```nginx

server {

listen 443 ssl;

server_name portainer.dev0ps.online;

# ...

}

```

### Стало

```nginx

server {

listen 4443 ssl;

server_name portainer.dev0ps.online;

# ...

}

```

> **Массовая замена:** во ВСЕХ файлах заменить `listen 443 ssl` → `listen 4443 ssl`

279

>

280

> и `listen [::]:443 ssl` → `listen [::]:4443 ssl`

281

>

282

> Порт 80 не трогать!

---

## 9. Боевой пример конфигурации

287

288

### nginx.conf (фрагменты)

```nginx

user abc;

include /config/nginx/worker_processes.conf;

293

pcre_jit on;

294

error_log /config/log/nginx/error.log;

295

include /etc/nginx/modules/*.conf;

296

include /etc/nginx/conf.d/*.conf;

297

298

events {

299

worker_connections 1024;

}

http {

include /etc/nginx/mime.types;

304

default_type application/octet-stream;

305

include /config/nginx/resolver.conf;

306

server_tokens off;

307

client_max_body_size 0;

sendfile on;

tcp_nopush on;

gzip_vary on;

map $http_upgrade $connection_upgrade {

default upgrade;

'' close;

}

http2 on;

http3 on;

quic_retry on;

access_log /config/log/nginx/access.log;

322

client_body_temp_path /tmp/nginx 1 2;

323

proxy_temp_path /tmp/nginx-proxy;

324

fastcgi_temp_path /tmp/nginx-fastcgi;

325

uwsgi_temp_path /tmp/nginx-uwsgi;

326

scgi_temp_path /tmp/nginx-scgi;

327

328

proxy_cache_path /tmp/nginx-proxy-cache keys_zone=lsio-proxy:10m;

329

fastcgi_cache_path /tmp/nginx-fcgi-cache keys_zone=lsio-fcgi:10m;

330

scgi_cache_path /tmp/nginx-scgi-cache keys_zone=lsio-scgi:10m;

331

uwsgi_cache_path /tmp/nginx-uwsgi-cache keys_zone=lsio-uwsgi:10m;

332

333

include /etc/nginx/http.d/*.conf;

334

include /config/nginx/site-confs/*.conf;

}

daemon off;

pid /run/nginx.pid;

stream {

include /config/nginx/stream.conf;

}

```

### stream.conf (боевой)

346

347

```nginx

348

resolver 127.0.0.11 valid=30s;

349

350

map $ssl_preread_server_name $backend {

351

nextcl.dev0ps.online remnanode:8443;

352

www.nextcl.dev0ps.online remnanode:8443;

353

default 127.0.0.1:4443;

}

server {

listen 443;

listen [::]:443;

ssl_preread on;

proxy_socket_keepalive on;

362

proxy_connect_timeout 10s;

proxy_timeout 3600s;

proxy_pass $backend;

}

```

### default.conf (боевой, фрагменты)

370

371

```nginx

372

# HTTP → HTTPS redirect (порт 80 БЕЗ ИЗМЕНЕНИЙ)

373

server {

374

listen 80 default_server;

375

listen [::]:80 default_server;

376

location / {

377

return 301 https://$host$request_uri;

}

}

# Основной HTTPS сервер (443 → 4443)

382

server {

383

listen 4443 ssl default_server;

384

listen [::]:4443 ssl default_server;

385

386

server_name _;

387

include /config/nginx/ssl.conf;

388

root /config/www;

389

index index.html index.htm index.php;

390

391

include /config/nginx/proxy-confs/*.subfolder.conf;

392

393

location / {

394

try_files $uri $uri/ /index.html /index.htm /index.php$is_args$args;

395

}

396

397

# ... PHP и остальные location без изменений ...

}

# Subdomain конфиги

include /config/nginx/proxy-confs/*.subdomain.conf;

402

```

403

404

### Пример site-conf (dev0ps.online.conf, фрагмент)

405

406

```nginx

407

# HTTP → HTTPS redirect

server {

listen 80;

listen [::]:80;

server_name *.dev0ps.online;

412

return 301 https://$host$request_uri;

413

}

414

415

# Portainer — слушает 4443

416

server {

417

listen 4443 ssl;

418

server_name portainer.dev0ps.online;

419

include /config/nginx/ssl.conf;

420

add_header X-Robots-Tag "noindex, nofollow, nosnippet, noarchive";

421

location / {

422

proxy_pass https://192.168.1.203:9443;

423

include /config/nginx/proxy.conf;

}

}

# Proxmox — слушает 4443

428

server {

429

listen 4443 ssl;

430

server_name pdm.dev0ps.online;

431

include /config/nginx/ssl.conf;

432

add_header X-Robots-Tag "noindex, nofollow, nosnippet, noarchive";

433

location / {

434

proxy_pass https://192.168.1.92:8443;

435

include /config/nginx/proxy.conf;

436

proxy_ssl_verify off;

437

proxy_set_header Host $host;

438

proxy_set_header X-Real-IP $remote_addr;

439

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

440

proxy_set_header X-Forwarded-Proto $scheme;

}

}

```

---

## 10. Проверка и отладка

448

449

### Проверить синтаксис конфигурации

450

451

```bash

452

docker exec swag nginx -t

```

**Ожидаемый вывод:**

```

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok

459

nginx: configuration file /etc/nginx/nginx.conf test is successful

460

```

461

462

### Перезагрузить конфигурацию без перезапуска

463

464

```bash

465

docker exec swag nginx -s reload

466

```

467

468

### Проверить, что nginx слушает правильные порты

469

470

```bash

471

docker exec swag ss -tlnp | grep nginx

```

**Ожидаемый вывод:**

```

LISTEN 0 511 0.0.0.0:80 0.0.0.0:* users:(("nginx",...))

478

LISTEN 0 511 0.0.0.0:443 0.0.0.0:* users:(("nginx",...)) ← stream

479

LISTEN 0 511 0.0.0.0:4443 0.0.0.0:* users:(("nginx",...)) ← http

480

```

481

482

### Проверить HTTPS через http-блок

483

484

```bash

485

docker exec swag curl -sk -o /dev/null -w "%{http_code}" https://127.0.0.1:4443/

486

# Ожидается: 200 или 301

487

```

488

489

### Проверить SNI-роутинг извне

490

491

```bash

492

# Проверить, что обычный сайт работает

493

curl -sk https://portainer.dev0ps.online/

494

495

# Проверить, что Reality-домен резолвится

496

openssl s_client -connect YOUR_SERVER_IP:443 -servername nextcl.dev0ps.online

```

### Логи

```bash

# Логи ошибок nginx

docker exec swag tail -50 /config/log/nginx/error.log

504

505

# Логи контейнера

506

docker logs swag --tail 50

```

---

## 11. Типичные ошибки и решения

512

513

### ❌ `host not found in upstream`

514

515

```

516

nginx: [emerg] host not found in upstream "remnanode:8443" in /config/nginx/stream.conf:4

517

```

518

519

**Причина:** Используется `upstream { server hostname:port; }` — nginx резолвит DNS при загрузке.

520

521

**Решение:** Убрать `upstream`, использовать `map` с прямыми адресами + `resolver`:

```nginx

# НЕ ТАК:

upstream reality_backend {

526

server remnanode:8443;

}

# ТАК:

map $ssl_preread_server_name $backend {

531

nextcl.dev0ps.online remnanode:8443;

532

default 127.0.0.1:4443;

}

```

### ❌ `bind() to 0.0.0.0:443 failed`

537

538

```

539

nginx: [emerg] bind() to 0.0.0.0:443 failed (98: Address already in use)

540

```

541

542

**Причина:** Порт 443 уже занят — либо http-блок всё ещё слушает 443, либо другой процесс.

543

544

**Решение:** Убедиться, что в http-блоке НЕТ `listen 443` — только `listen 4443`:

545

546

```bash

547

grep -rn "listen.*443" /config/nginx/site-confs/ /config/nginx/proxy-confs/

548

# Не должно быть listen 443 ssl (только 4443)

549

```

550

551

### ❌ `duplicate map variable`

552

553

```

554

nginx: [emerg] duplicate variable "connection_upgrade"

555

```

556

557

**Причина:** `map $http_upgrade $connection_upgrade` определён дважды — в `nginx.conf` и в подключаемом файле (например, `nextcl.subdomain.conf`).

558

559

**Решение:** Удалить дублирующийся `map` из подключаемого файла, оставить только в `nginx.conf`.

560

561

### ❌ Сайты открываются, но SNI-роутинг не работает

562

563

**Причина:** `ssl_preread on;` не указан в stream server блоке.

564

565

**Решение:** Добавить `ssl_preread on;` в `server { }` внутри `stream { }`.

566

567

### ❌ 502 Bad Gateway для всех сайтов

568

569

**Причина:** stream проксирует на `127.0.0.1:4443`, но http-блок не слушает 4443.

570

571

**Решение:** Проверить, что в `default.conf` и `site-confs` стоит `listen 4443 ssl`.

---

## 12. Docker Compose — порты

576

577

SWAG должен пробрасывать порт **443** из хоста:

```yaml

services:

swag:

image: lscr.io/linuxserver/swag

container_name: swag

ports:

- "80:80" # HTTP

- "81:81" # SWAG Dashboard

587

- "443:443" # HTTPS/TLS → stream блок

volumes:

- ./swag:/config

# ...

```

> **Порт 4443 НЕ пробрасывается наружу!** Он используется только внутри контейнера для связи `stream → http`.

---

## Краткая шпаргалка

```bash

# Проверить конфиг

docker exec swag nginx -t

602

603

# Перечитать конфиг

604

docker exec swag nginx -s reload

605

606

# Найти все места где слушается 443 (должно быть только в stream.conf)

607

grep -rn "listen.*443" /config/nginx/

608

609

# Проверить порты внутри контейнера

610

docker exec swag ss -tlnp

611

612

# Логи

613

docker logs swag --tail 30

614

docker exec swag tail -30 /config/log/nginx/error.log

615

```

Исходный код вики Stream (SNI-роутинг) в SWAG