SSL и HTTP прокси

Если вы настраиваете Owncast и запутались в таких терминах, как обратный прокси, SSL или HTTPS, возможно, это поможет. На этой странице объясняется, что они собой представляют, зачем они нужны Owncast и как все это связано.

Что такое обратный прокси

Обратный прокси — это маленький сервер, который стоит перед Owncast. Это:

• Слушает в публичном интернете (порты 80 и 443)
• Обрабатывает HTTPS / SSL
• Forwards traffic to Owncast (by default on port 8080)
• Обладает сертификатом
• Шифрует трафик
• Расшифровывает его перед отправкой в Owncast Owncast никогда не видит HTTPS — он видит обычный внутренний трафик.

Думайте об этом как о приемной:

• Публика общается с приемной.
• Приемная передает вещи Owncast.

Owncast полагается на стандартные, проверенные инструменты (такие как Caddy, Nginx, Traefik), чтобы сделать это правильно. Многие, кто уже сам хостит или владеет своей инфраструктурой, уже имеют настроенный обратный прокси, к которому они могут добавить Owncast.

Почему вам стоит поддерживать SSL

1. Если вы хотите встроить ваше видео или чат Owncast на страницу, использующую SSL, ваш сервер Owncast также должен быть защищён.
2. Браузеры пометят ваш сайт как "Не защищён" без использования SSL.
3. Это выглядит более профессионально, и ваш сайт будет казаться более надежным.
4. Защита веб-трафика в публичном интернете — это правильное решение.

Когда это может быть не нужно

1. Если вы просто тестируете и экспериментируете с Owncast.
2. Вы запускаете службу внутри сети и не планируете публичную аудиторию.

Общее недопонимание (и почему это ломает вещи)

• ❌ “Я включил HTTPS в Owncast”
• ❌ “Я перенаправил порт 443 на Owncast”
• ❌ “Мне не нужен обратный прокси”
• ❌ "Я перенаправил RTMP порт 1935 на веб-прокси"

Это обычно приводит к:

• Неудачи подключения OBS
• UI администратора работает, но видео не работает
• Встраивания не работают
• Предупреждения о смешанном контенте в браузерах
• Вы все еще можете загрузить Owncast на порту 8080, но не через порт HTTPS 443
• Ваш поток недоступен в мобильных приложениях

Правильная настройка (упрощенная)

1. DNS указывает ваш домен на ваш сервер
2. Обратный прокси слушает на портах 80 / 443 (не RTMP 1935)
3. Обратный прокси получает SSL сертификат
4. Обратный прокси перенаправляет трафик на Owncast
5. Owncast runs on :8080 (the port is configurable in Server Setup)
6. Owncast itself is kept off the public internet: bind it to loopback with --webserverip 127.0.0.1 or firewall port 8080. By default Owncast listens on every interface, so without this step visitors can bypass your proxy and reach it directly over plain HTTP.
7. OBS sends RTMP to Owncast on port 1935, not through the proxy

The proxy must forward every path to Owncast, including the websocket upgrade at /ws that chat uses. All of the example configurations in this section do this.

Если что-то не работает, наиболее полезные вопросы, которые стоит задать:

• “Где завершается HTTPS?”
• “Какой сервис слушает на порту 443?”
• “OBS подключается к Owncast или к прокси?” Ответы на эти вопросы почти всегда выявляют проблему.

Популярные варианты

Вы можете использовать любой метод, который вам нравится, чтобы добавить поддержку SSL, но есть некоторые популярные варианты, которые, как мы видели, хорошо работают для людей. Если у вас есть какие-либо конкретные вопросы или вы хотите сделать предложения по конфигурациям или другим настройкам, сообщите нам.

Наследовать отображаемое имя от обратного прокси

Обычно Owncast назначает случайное имя отображения, когда новые пользователи присоединяются к чату. Обратные прокси могут повлиять на это поведение, устанавливая HTTP-заголовок X-Forwarded-User, передавая веб-трафик. Этот заголовок будет использован вместо случайного имени для получения имени пользователя. Пользователь все равно сможет изменить свое имя отображения на любое желаемое значение.

Рекомендуется

Если у вас нет необходимости использовать другие варианты, то рекомендуется установить Caddy, так как его можно установить быстро и легко.