توضیحات (Description)

این راهنما فرض می‌کند که شما پیش‌تر Syncthing را راه‌اندازی کرده‌اید. اگر هنوز این کار را انجام نداده‌اید، ابتدا به بخش شروع به کار مراجعه کنید.

نصب (Installing)

به بخش انتشارها <https://github.com/syncthing/discosrv/releases> رفته و فایل مناسب سیستم‌عامل خود را بارگیری کنید. استخراج آن یک فایل باینری اجرایی به نام stdiscosrv (یا در ویندوز stdiscosrv.exe) ارائه می‌دهد. آن را به هر روشی که راحت‌تر هستید اجرا کنید؛ دوبار کلیک کردن در هر محیط گرافیکی باید کارساز باشد. در نخستین اجرا، stdiscosrv فایل‌های گواهی و پایگاه داده را در دایرکتوری جاری ایجاد می‌کند، مگر اینکه پرچم‌هایی خلاف این به آن داده شده باشد.

سرور اکتشاف همچنین می‌تواند از طریق apt، مدیر بستهٔ دبیان/اوبونتو، تهیه شود. نسخه‌های اخیر را می‌توان در مخزن apt <https://apt.syncthing.net> برنامهٔ Syncthing یافت. نام بسته syncthing-discosrv است.

پیکربندی (Configuring)

نکته:

گواهی‌ها (Certificates)

سرور اکتشاف خدمات خود را بر بستر HTTPS ارائه می‌دهد. برای تضمین اتصالات امن از سوی کلاینت‌ها، سه گزینه وجود دارد:

در مورد دو گزینهٔ اول، مسیرهای فایل گواهی و کلید باید در هنگام راه‌اندازی به سرور اکتشاف داده شوند. در صورت استفاده از پرچم http این کار ضرورتی ندارد:

$ stdiscosrv --cert=/path/to/cert.pem --key=/path/to/key.pem
Server device ID is 7DDRT7J-UICR4PM-PBIZYL3-MZOJ7X7-EX56JP6-IK6HHMW-S7EK32W-G3EUPQA

سرور اکتشاف شناسهٔ دستگاه خود را در زمان راه‌اندازی چاپ می‌کند. در صورتی که از گواهی امضاشده توسط CA استفاده نمی‌کنید، این شناسهٔ دستگاه (اثر انگشت) باید در نشانی URL سرور اکتشاف به کلاینت‌ها ارائه شود:

در غیر این صورت، نشانی URL به این شکل خواهد بود:

راه‌اندازی پراکسی معکوس (Reverse Proxy Setup)

افزوده‌شده در نسخهٔ 1.8.0: سرآیند HTTP جدید «X-Client-Port» اضافه شد.

سرور اکتشاف می‌تواند پشت یک پراکسی معکوس امن‌شده با SSL اجرا شود. این قابلیت امکانات زیر را فراهم می‌کند:

توجه داشته باشید که پس از اعمال این پیکربندی، چنانچه پراکسی از یک گواهی HTTPS معتبر استفاده کند، کلاینت‌ها باید پارامتر ?id=... را از نشانی URL سرور اکتشاف در پیکربندی خود حذف کنند. اعتبارسنجی سمت کلاینت از طریق بررسی گواهی HTTPS سرور پراکسی که در دیدرس است انجام می‌پذیرد. اما اگر پراکسی از یک گواهی خودامضاشده یا به نحوی نامعتبر استفاده کند، کلاینت‌ها کماکان باید پارامتر ?id=... را به همراه هش محاسبه‌شدهٔ گواهی پراکسی تنظیم نمایند. استفاده از چنین پیکربندی‌ای توصیه نمی‌شود و در این صفحه توضیح داده نشده است. همواره استفاده از گواهی‌های معتبر و شناخته‌شده را ترجیح دهید.

پیش‌نیازها (Requirements)

Nginx

این خطوط در فایل پیکربندی، چهار پیش‌نیاز انتهایی فهرست بالا را پوشش می‌دهند:

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Client-Port $remote_port;
proxy_set_header X-SSL-Cert $ssl_client_cert;
ssl_verify_client optional_no_ca;

در ادامه نمونه‌ای کامل از یک فایل پیکربندی Nginx آمده است. با این پیکربندی، کلاینت‌ها می‌توانند از https://discovery.example.com به عنوان نشانی URL سرور اکتشاف در تنظیمات Syncthing استفاده کنند.

# HTTP 1.1 support
proxy_http_version 1.1;
proxy_buffering off;
proxy_set_header Host $http_host;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $http_connection;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Client-Port $remote_port;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto;
proxy_set_header X-SSL-Cert $ssl_client_cert;
proxy_set_header X-Forwarded-Tls-Client-Cert "";
proxy_set_header X-Tls-Client-Cert-Der-Base64 "";
upstream discovery.example.com {
    # Local IP address:port for discovery server
    server 192.0.2.1:8443;
}
server {
        server_name discovery.example.com;
        listen 80;
        access_log /var/log/nginx/access.log vhost;
        return 301 https://$host$request_uri;
}
server {
        server_name discovery.example.com;
        listen 443 ssl http2;
        access_log /var/log/nginx/access.log vhost;
        # Mozilla Intermediate configuration (https://wiki.mozilla.org/Security/Server_Side_TLS)
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
        ssl_prefer_server_ciphers off;
        ssl_session_tickets off;
        ssl_session_timeout 5m;
        ssl_session_cache shared:SSL:50m;
        ssl_verify_client optional_no_ca;
        # OCSP stapling
        ssl_stapling on;
        ssl_stapling_verify on;
        # Certificates
        ssl_certificate /etc/nginx/certs/discovery.example.com.crt;
        ssl_certificate_key /etc/nginx/certs/discovery.example.com.key;
        # curl https://ssl-config.mozilla.org/ffdhe2048.txt > /path/to/dhparam
        ssl_dhparam /path/to/dhparam;
        # HSTS (ngx_http_headers_module is required) (63072000 seconds)
        add_header Strict-Transport-Security "max-age=63072000" always;
        location / {
                proxy_pass http://discovery.example.com;
        }
}

نمونه‌ای از خودکارسازی گواهی‌های SSL و راه‌اندازی پراکسی معکوس برای سرور اکتشاف و Syncthing با استفاده از Nginx، Let’s Encrypt <https://letsencrypt.org> و Docker را می‌توانید در اینجا <https://forum.syncthing.net/t/docker-syncthing-and-syncthing-discovery-behind-nginx-reverse-proxy-with-lets-encrypt/6880> بیابید.

Apache

خطوط زیر باید به پیکربندی اضافه شوند:

SSLProxyEngine On
SSLVerifyClient optional_no_ca
RequestHeader set X-SSL-Cert "%{SSL_CLIENT_CERT}s"
RequestHeader unset X-Forwarded-Tls-Client-Cert
RequestHeader unset X-Tls-Client-Cert-Der-Base64

مشاهده شده است که موارد زیر دست‌کم در Apache httpd 2.4.38 الزامی نیستند، زیرا ماژول پراکسی سرآیند مورد نیاز را به‌طور پیش‌فرض می‌افزاید. چنانچه نیاز دارید این دستورالعمل را به‌صراحت اضافه کنید، مطمئن شوید که ابتدا دستور a2enmod remoteip را اجرا کرده‌اید. سپس خط زیر را به پیکربندی Apache httpd اضافه کنید:

RemoteIPHeader X-Forwarded-For

Caddy

خطوط زیر باید به Caddyfile اضافه شوند:

  discovery.example.com {
    reverse_proxy 192.0.2.1:8443 {
      header_up X-Forwarded-For {http.request.remote.host}
      header_up X-Client-Port {http.request.remote.port}
      header_up X-Tls-Client-Cert-Der-Base64 {http.request.tls.client.certificate_der_base64}
      header_up -X-Ssl-Cert
      header_up -X-Forwarded-Tls-Client-Cert
    }
    tls {
      client_auth {
        mode request
      }
    }
}

برای جزئیات بیشتر، توصیه‌های موجود در صفحهٔ Reverse Proxy Setup <https://docs.syncthing.net/users/reverseproxy.html> را نیز مطالعه فرمایید. توجه داشته باشید که آن صفحه به راه‌اندازی پراکسی برای واسط وب Syncthing اختصاص دارد؛ بنابراین باید تغییرات متناسب را در مسیرها و شمارهٔ درگاه‌ها برای پراکسی کردن سرور اکتشاف و سناریوی اختصاصی خود اعمال کنید.