🚀 Nginx – Reverse Proxy, Déploiement Django & Sécurité

Nginx vs. Apache (Modèle de connexion)

Analogie (Déploiement Django)

Pensez à votre déploiement comme à un restaurant de luxe :

• Django (Le Chef) : S'occupe de la logique compliquée (préparer les plats, parler à la BDD). Ne parle pas aux clients.
• Gunicorn (Le Gérant de Cuisine) : Gère les "Chefs" (processus Django), s'assure qu'ils travaillent, et les redémarre s'ils échouent. Parle uniquement au Maître d'Hôtel.
• Nginx (Le Maître d'Hôtel) : Se tient à l'entrée (Port 80/443). Il accueille le client, gère le vestiaire (SSL), sert les boissons (fichiers statiques), et transmet la commande de plat (requête dynamique) à la cuisine (Gunicorn).

RHEL / Rocky / AlmaLinux

Nginx est dans le dépôt EPEL (Extra Packages for Enterprise Linux).

# 1. Installer EPEL
sudo dnf install -y epel-release

# 2. Installer Nginx
sudo dnf install -y nginx

Post-Installation (systemd & Firewall)

# Démarrer et activer
sudo systemctl enable --now nginx

# Vérifier le statut
sudo systemctl status nginx

# --- Firewall (UFW - Ubuntu) ---
sudo ufw allow 'Nginx Full' # (Port 80 & 443)
sudo ufw enable

# --- Firewall (firewalld - RHEL) ---
sudo firewall-cmd --add-service=http --permanent
sudo firewall-cmd --add-service=https --permanent
sudo firewall-cmd --reload

Structure RHEL (conf.d)

RHEL/Rocky utilise une structure plus simple. nginx.conf charge tous les fichiers .conf dans /etc/nginx/conf.d/.

/etc/nginx/
├── nginx.conf              (Fichier global, charge conf.d)
│
└── conf.d/
    ├── django_projet.conf
    └── autre_site.conf

Pour désactiver un site, il faut renommer le fichier (ex: django_projet.conf.disabled) et recharger Nginx.

try_files (Le Front-Controller)

Utilisé par les frameworks JS (React, Vue, Angular) ou les CMS (WordPress). Il essaie de trouver un fichier/dossier, et s'il échoue, il renvoie vers index.html ou index.php.

Exemple (React/Angular)

location / {
    root /var/www/react-app/dist;
    
    # 1. Cherche le fichier exact (ex: /logo.png)
    # 2. Cherche le dossier (ex: /dossier/)
    # 3. Si échec, renvoie vers /index.html (le routeur React)
    try_files $uri $uri/ /index.html;
}

Exemple (PHP/WordPress)

location / {
    try_files $uri $uri/ /index.php?$query_string;
}

Socket (UNIX) vs TCP (Réseau)

Il y a deux façons de faire communiquer Nginx et Gunicorn (s'ils sont sur la *même* machine) :

Socket TCP (Port)

Facile à débugger, mais léger overhead réseau.

# Gunicorn (écoute sur port 8000)
gunicorn --bind 127.0.0.1:8000 ...

# Nginx
proxy_pass http://127.0.0.1:8000;

Socket UNIX (Fichier)

Recommandé en production. Plus rapide (pas d'overhead TCP/IP), et plus sécurisé (permissions de fichier).

# Gunicorn (crée un fichier .sock)
gunicorn --bind unix:/run/gunicorn.sock ...

# Nginx
proxy_pass http://unix:/run/gunicorn.sock;

Service systemd (gunicorn.service)

Créez /etc/systemd/system/gunicorn.service :

[Unit]
Description=Gunicorn daemon for Django Project
After=network.target

[Service]
# Utilisateur/Groupe (doit exister)
User=ideo_user
Group=www-data
# Dossier du 'manage.py'
WorkingDirectory=/home/ideo_user/mon_projet
# Commande (chemin complet venv + socket dans /run)
ExecStart=/home/ideo_user/mon_projet/.venv/bin/gunicorn \
    --access-logfile - \
    --workers 3 \
    --bind unix:/run/gunicorn.sock \
    mon_projet.wsgi:application
Restart=always

[Install]
WantedBy=multi-user.target

Note : Le Group=www-data permet à Nginx (qui tourne en www-data) de lire/écrire sur le socket.

Config (Après certbot)

Certbot va modifier votre fichier (ex: /etc/nginx/sites-available/django_projet) pour vous.

server {
    server_name ideolab.com www.ideolab.com;
    
    # (Vos locations /static, /media, / restent identiques)
    location /static/ { ... }
    location /media/ { ... }
    location / { ... }

    # --- BLOC AJOUTÉ PAR CERTBOT ---
    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/ideolab.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/ideolab.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
    # --- FIN BLOC CERTBOT ---
}

# (Certbot ajoute ce bloc pour la redirection HTTP->HTTPS)
server {
    if ($host = www.ideolab.com) {
        return 301 https://$host$request_uri;
    }
    if ($host = ideolab.com) {
        return 301 https://$host$request_uri;
    }

    listen 80;
    server_name ideolab.com www.ideolab.com;
    return 404; # managed by Certbot
}

Méthodes de Load Balancing

Définit *comment* Nginx choisit un serveur dans le pool.

upstream django_backend_pool {
    ip_hash;
    server 10.0.0.1:8000;
    server 10.0.0.2:8000;
}

2. Utiliser le cache (dans server / location)

server {
    ...
    location /api/v1/public_data/ {
        # 1. Utiliser cette zone de cache
        proxy_cache DJANGO_CACHE;
        
        # 2. Temps de validité (200/302 = 10 min)
        proxy_cache_valid 200 302 10m;
        proxy_cache_valid 404 1m;
        
        # 3. Clé de cache (ignorer les query params)
        proxy_cache_key "$scheme$request_method$host$request_uri";
        
        # 4. Transmettre
        proxy_pass http://127.0.0.1:8000;
        include proxy_params;
    }
}