如何将Linux服务器上Docker化.NET Blazor应用从HTTP切换到HTTPS？

1. 启用HTTPS的最优方案 #

优先选择在主机层用Nginx等反向代理统一管理SSL证书并处理请求路由，而非在Docker容器内单独实现HTTPS，原因如下：

• 集中化证书管理：所有应用的SSL证书都在主机侧维护，更新、替换时无需逐个修改容器配置，大幅降低运维成本。
• 简化容器内应用配置：容器内的Blazor应用仍使用HTTP 80端口运行，无需修改应用的HTTPS配置，避免了容器内证书挂载、端口映射的复杂度。
• 统一SSL终止：反向代理完成HTTPS解密后，以HTTP协议转发请求到容器内部，内部网络通信无需额外加密，减少不必要的性能开销。
• 扩展性更强：后续可通过反向代理轻松实现负载均衡、请求限流、统一日志收集等功能，架构更灵活。

若选择在容器内实现HTTPS，会面临每个容器都需单独配置证书、端口映射冲突（多个容器无法同时绑定主机443端口）、证书更新需逐个重启容器等问题，仅适合单容器小规模场景，不符合多应用部署需求。

2. 内部DNS条目下的SSL配置要点 #

使用application1.intra.contoso.de这类内部DNS域名时，SSL加密的核心挑战是域名与证书的匹配性以及内部CA证书的客户端信任，具体解决方法如下：

证书管理 #

• 向内部证书管理部门申请SAN（Subject Alternative Name）证书：证书中包含所有应用的子域名（如application1.intra.contoso.de、application2.intra.contoso.de），或直接申请通配符证书*.intra.contoso.de，一套证书即可覆盖所有应用，避免重复申请。
• 若每个应用需要独立证书，确保每个证书的Common Name或SAN字段严格对应其DNS域名。

反向代理（Nginx）配置示例 #

将Nginx部署在主机上，监听443端口，根据域名路由到对应容器：

http {
    server {
        listen 443 ssl;
        server_name application1.intra.contoso.de;

        ssl_certificate /path/to/application1.crt;
        ssl_certificate_key /path/to/application1.key;

        location / {
            proxy_pass http://localhost:8080; # 对应应用A的主机映射端口
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
        }
    }

    server {
        listen 443 ssl;
        server_name application2.intra.contoso.de;

        ssl_certificate /path/to/application2.crt;
        ssl_certificate_key /path/to/application2.key;

        location / {
            proxy_pass http://localhost:8081; # 对应应用B的主机映射端口
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
        }
    }

    # 可选：将HTTP请求重定向到HTTPS
    server {
        listen 80;
        server_name *.intra.contoso.de;
        return 301 https://$host$request_uri;
    }
}

客户端信任配置 #

确保所有访问应用的客户端（浏览器、桌面应用等）已安装内部CA的根证书，否则会出现SSL证书不可信的警告，影响正常访问。

内容的提问来源于stack exchange，提问作者Lukas