Nginx совпадение неверного блока – Ipv4 и IPv6

Я перевел свой экземпляр AWS на публичный IPv6 адрес, чтобы избежать сборов за публичный IPv4, введенных некоторое время назад. У меня есть около шести доменов, размещенных на сервере EC2 с Nginx, с CloudFlare в качестве DNS и CDN. CloudFlare подключается к моему исходному серверу только по IPv6 и делает домены доступными как по IPv4, так и по IPv6.

Вебсайты корректно работают по https, но я заметил странное поведение с http-запросами. Когда я делал http-запрос к одному домену, он возвращал сайт другого из моих доменов. Мне потребовалось довольно много времени, чтобы выяснить, почему.

Например – я делаю curl example.com и получаю редирект на example2.com

curl -v http://example.com
< HTTP/1.1 301 Moved Permanently
< Server: nginx/1.18.0 (Ubuntu)
< Content-Type: text/html
< Connection: keep-alive
< Location: https://example2.com

Вот конфиг Nginx – рассмотрите его как псевдокод, он может не пройти “nginx -t”.

server {
  listen 80;
  server_name example.com;
  return 301 https://example.com$request_uri;  
}

server {
  server_name example.com;
  listen [::]:443 ssl http2;

  ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
  ssl_dhparam /etc/nginx/ssl/dhparams.pem;

  root     /var/www/example/;
}

server {
  listen [::]:80;
  server_name example2.com;
  return 301 https://example2.com$request_uri;  
}

server {
  server_name example2.com;
  listen [::]:443 ssl http2;

  ssl_certificate /etc/letsencrypt/live/example2.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example2.com/privkey.pem;
  ssl_dhparam /etc/nginx/ssl/dhparams.pem;

  root     /var/www/example2/;
}

Когда я изучил руководство по сопоставлению Nginx Location на Digital Ocean, я наконец-то разобрался в проблеме. Nginx сначала осуществляет сопоставление по порту прослушивания и протоколу, только если на этом порту прослушивания больше одного блока, тогда он сопоставляет по server_name.

Когда я перешел на IPv6, я обновил все https-серверы для прослушивания как на IPv4, так и на IPv6, но я пропустил обновление большинства доменов для http-редиректов на прослушивание IPv6. Как только я заставил серверы-редиректы прослушивать IPv6 наряду с IPv4, все начало работать как ожидалось.

Ключевые шаги в решении проблемы были:

• Использование другого сервера Linux с измененным файлом hosts, чтобы он указывал непосредственно на исходный сервер, а не на CloudFlare (не уверен, имело ли это большое значение)
• “curl -v http://example.com
• Чтение цифрового руководства – хотя оно не упоминает IPv6, это очень помогло

Вот рабочая псевдокод конфигурация

server {
  # ЭТА СТРОКА БЫЛА ПРОБЛЕМОЙ
  listen [::]:80;
  server_name example.com;
  return 301 https://example.com$request_uri;  
}

server {
  server_name example.com;
  listen [::]:443 ssl http2;

  ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
  ssl_dhparam /etc/nginx/ssl/dhparams.pem;

  root     /var/www/example/;
}

server {
  listen [::]:80;
  server_name example2.com;
  return 301 https://example2.com$request_uri;  
}

server {
  server_name example2.com;
  listen [::]:443 ssl http2;

  ssl_certificate /etc/letsencrypt/live/example2.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example2.com/privkey.pem;
  ssl_dhparam /etc/nginx/ssl/dhparams.pem;

  root     /var/www/example2/;
}