通过Nginx代理实现互联网访问使用本地内网服务器部署的GitLab并确保 SSH / HTTP 克隆地址正确

一、环境说明：
        公司机房局域网组网，提供开发、测试、代码管理等，只有一个公网IP，通过外网防火墙映射到了其中一台外网服务器上，在这台服务器上安装ginx，实现了内网服务的域名解析等功能，提供外部访问能力。 
       本文章主要介绍本地化代码管理服务GitLab到配置，以提供外网正常访问。在公司某台内网的CentOS服务器上面安装GitLab（不会安装的百度一下GitLab本地安装），这里主要介绍安装完后的配置。
网络结构图如下：

 二、配置方法
        GitLab 安装完成后自己是有 Nginx 的，也是因为其存在，导致代理容易出问题，所以需要修改配置：
1. 修改配置文件 gitlab.yml：

vim /opt/gitlab/embedded/service/gitlab-rails/config/gitlab.yml

# 修改内容如下
gitlab:
  host: git.xxx.com
  port: 443
  https: true

  ssh_host: git.xxx.com

# 我这里使用的是 HTTPS 的，所以端口使用 443 并开启了 https，配置 ssh 地址。
# git.xxx.com 是你自己解析到域名

2. 修改配置文件 gitlab.rb：

vim /etc/gitlab/gitlab.rb

# 配置域名地址    git.xxx.com 是你自己解析到域名
external_url 'https://git.xxx.com'

# 配置 ssh 地址
gitlab_rails['gitlab_ssh_host'] = 'git.xxx.com'

# Nginx 授信地址    192.168.100.100是局域网内提供公网服务到某台器的内网IP地址
gitlab_rails['trusted_proxies'] = ['192.168.100.100']

# SSH 端口
gitlab_rails['gitlab_shell_ssh_port'] = 10022

# 服务监听方式
gitlab_workhorse['listen_network'] = "tcp"

# 服务监听地址
gitlab_workhorse['listen_addr'] = "0.0.0.0:10080"

# 禁用自带的 nginx
nginx['enable'] = false


## 修改这些配置之后达到的效果：
## gitlab自带的nginx关闭了，换成了监听tcp10080端口，这样就能使用前置nginx反向代理该端口。
配置了域名地址和ssh地址端口，这样页面上的克隆地址就会是这里配置的地址，ssh端口使用10022是到
时候nginx上面会使用的端口，gitlab 本身还是 22 的 ssh 端口。

3. 配置完成后重启 gitlab：

gitlab-ctl reconfigure
gitlab-ctl restart

4. 配置作为代理的 nginx：

# http 反向代理配置，用于 http 克隆和 web 访问：
server {
    listen      443 ssl;
    # git.xxx.com 是你自己解析到域名
    server_name git.xxx.com;
    
    # cert/git.xxx.com.pem和cert/git.xxx.com.key 是你自己生存的绑定域名的ssl证书，存放在Nginx安装目录下的cert目录下
    ssl_certificate      cert/git.xxx.com.pem;
    ssl_certificate_key  cert/git.xxx.com.key;
    ssl_session_timeout 5m;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;

    location / {
        proxy_redirect http:// https://;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Ssl on;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_pass http://192.168.100.121:10080;
        #192.168.100.121是安装GitLab服务的服务器IP地址
        #注意，反向代理一定需要配置：proxy_set_header X-Forwarded-Ssl on; 否则会出现登录422 的问题！
    }
}

5.tcp 反向代理，用于 ssh 克隆：

# 注意TCP代理配置在nginx.conf文件中的位置和HTTP代理配置的位置不一样，具体是stream {}和http {}在nginx.conf文件中的位置属于并列的级别。
stream {
	upstream GITLAB {
		hash   $remote_addr consistent;
        #  192.168.100.121是安装GitLab服务的服务器IP地址
		server 192.168.100.121:22;
	}

	server {
        # 监听外网访问端口
		listen  10022;
		proxy_connect_timeout   30s;
		proxy_timeout   300s;
		proxy_pass  GITLAB;
	}
}

6.完整的nginx.conf文件配置如下：

## 注意TCP代理配置在nginx.conf文件中的位置和HTTP代理配置的位置不一样，具体是stream {}和http {}在nginx.conf文件中的位置属于并列的级别。
stream {
	upstream GITLAB {
		hash   $remote_addr consistent;
        #  192.168.100.121是安装GitLab服务的服务器IP地址
		server 192.168.100.121:22;
	}

	server {
        # 监听外网访问端口
		listen  10022;
		proxy_connect_timeout   30s;
		proxy_timeout   300s;
		proxy_pass  GITLAB;
	}
}

http {
    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';

    #access_log  logs/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    #keepalive_timeout  0;
    keepalive_timeout  65;

    #gzip  on;

    ## http 反向代理配置，用于 http 克隆和 web 访问：
	server {
		listen      443 ssl;
        # git.xxx.com 是你自己解析到域名
        server_name git.xxx.com;
        # cert/git.xxx.com.pem和cert/git.xxx.com.key 是你自己生存的绑定域名的ssl证书，存放在Nginx安装目录下的cert目录下
        ssl_certificate      cert/git.xxx.com.pem;
        ssl_certificate_key  cert/git.xxx.com.key;
		ssl_session_timeout 5m;
		ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
		ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
		ssl_prefer_server_ciphers on;

		location / {
			proxy_redirect http:// https://;
			proxy_set_header Host $host;
			proxy_set_header X-Real-IP $remote_addr;
			proxy_set_header X-Forwarded-Ssl on;
			proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
			proxy_pass http://192.168.100.121:10080;
            #192.168.100.121是安装GitLab服务的服务器IP地址
            #注意，反向代理一定需要配置：proxy_set_header X-Forwarded-Ssl on; 否则会出现登录422 的问题！
		}
	}     
    server {
        listen	80;
        # git.xxx.com 是你自己解析到域名
        server_name  git.xxx.com;
	    rewrite ^(.*)$  https://$host$1 permanent; 
    }   
}

至此，整个配置就完成了，重启Nginx服务，赶快在开发电脑上访问试试吧。