企业官网建设流程全解析

Docker版OnlyOffice文档服务器自签名证书问题终极解决方案

当你在Docker环境中部署OnlyOffice Document Server时，可能会遇到一个令人头疼的问题——文件预览失败，错误提示"error self signed certificate"。这通常是由于OnlyOffice内部服务之间的HTTPS通信使用了自签名证书，而默认配置会拒绝这类未经验证的连接。本文将深入剖析问题根源，提供多种解决方案，并分享如何确保配置持久化，避免容器重启后问题复现。

1. 问题根源与诊断方法

OnlyOffice Document Server由多个微服务组成，包括Converter、Document Builder和Document Editor等。这些服务之间通过HTTPS进行通信，而默认情况下，它们使用自签名证书。当rejectUnauthorized设置为true时（这是默认值），Node.js会拒绝任何未经验证的HTTPS连接，包括自签名证书。

要确认你是否遇到了这个问题，可以按照以下步骤检查日志：

docker exec -it your_onlyoffice_container_id /bin/bash cd /var/log/onlyoffice/documentserver/converter/ tail -f out.log

典型的错误日志会包含类似以下内容：

Error: self signed certificate at TLSSocket.onConnectSecure (_tls_wrap.js:1501:34) at TLSSocket.emit (events.js:315:20) at TLSSocket._finishInit (_tls_wrap.js:936:8) at TLSWrap.ssl.onhandshakedone (_tls_wrap.js:710:12) { code: 'ESOCKET', command: 'CONVERT' }

2. 解决方案一：禁用证书验证（快速修复）

最直接的解决方案是修改default.json配置文件，将rejectUnauthorized设置为false。以下是详细步骤：

1. 进入OnlyOffice容器：

   docker exec -it your_onlyoffice_container_id /bin/bash

2. 编辑配置文件：

   nano /etc/onlyoffice/documentserver/default.json

3. 找到以下部分并进行修改：

   "requestDefaults": { "headers": { "User-Agent": "Node.js/6.13", "Connection": "Keep-Alive" }, "gzip": true, "rejectUnauthorized": false }

4. 保存文件并退出编辑器。

5. 重启Document Server服务：

   supervisorctl restart all

注意：这种方法虽然简单，但会降低安全性，因为它完全禁用了HTTPS证书验证。建议仅在测试环境或内部网络中使用。

3. 解决方案二：配置受信任的自签名证书（推荐）

更安全的做法是为OnlyOffice生成并配置受信任的自签名证书。以下是具体步骤：

3.1 生成自签名证书

在宿主机上执行以下命令生成证书：

mkdir -p /opt/onlyoffice/certs cd /opt/onlyoffice/certs openssl req -x509 -nodes -days 3650 -newkey rsa:2048 \ -keyout onlyoffice.key -out onlyoffice.crt \ -subj "/CN=onlyoffice/O=My Company/C=US"

3.2 将证书复制到容器中

docker cp onlyoffice.crt your_onlyoffice_container_id:/etc/onlyoffice/documentserver/nginx/ docker cp onlyoffice.key your_onlyoffice_container_id:/etc/onlyoffice/documentserver/nginx/

3.3 修改Nginx配置

进入容器并编辑Nginx配置：

docker exec -it your_onlyoffice_container_id /bin/bash nano /etc/onlyoffice/documentserver/nginx/onlyoffice-ssl.conf.tmpl

找到SSL证书配置部分，确保它指向你新创建的证书：

ssl_certificate /etc/onlyoffice/documentserver/nginx/onlyoffice.crt; ssl_certificate_key /etc/onlyoffice/documentserver/nginx/onlyoffice.key;

3.4 更新系统信任库

将证书添加到系统的信任库中：

cp /etc/onlyoffice/documentserver/nginx/onlyoffice.crt /usr/local/share/ca-certificates/ update-ca-certificates

3.5 重启服务

supervisorctl restart all

4. 解决方案三：使用Let's Encrypt证书（生产环境推荐）

对于生产环境，建议使用Let's Encrypt提供的免费SSL证书。以下是配置步骤：

1. 首先，确保你的服务器有公网IP和域名，并且域名解析已正确设置。

2. 安装Certbot工具：

   sudo apt-get update sudo apt-get install certbot

3. 获取证书（使用standalone模式）：

   certbot certonly --standalone -d your.domain.com

4. 将证书复制到OnlyOffice容器中：

   docker cp /etc/letsencrypt/live/your.domain.com/fullchain.pem your_onlyoffice_container_id:/etc/onlyoffice/documentserver/nginx/onlyoffice.crt docker cp /etc/letsencrypt/live/your.domain.com/privkey.pem your_onlyoffice_container_id:/etc/onlyoffice/documentserver/nginx/onlyoffice.key

5. 进入容器并重启服务：

   docker exec -it your_onlyoffice_container_id /bin/bash supervisorctl restart all

6. 设置自动续期（可选但推荐）：

   echo "0 0 1 * * root certbot renew --quiet && docker cp /etc/letsencrypt/live/your.domain.com/fullchain.pem your_onlyoffice_container_id:/etc/onlyoffice/documentserver/nginx/onlyoffice.crt && docker cp /etc/letsencrypt/live/your.domain.com/privkey.pem your_onlyoffice_container_id:/etc/onlyoffice/documentserver/nginx/onlyoffice.key && docker exec your_onlyoffice_container_id supervisorctl restart all" | sudo tee -a /etc/crontab > /dev/null

5. 配置持久化与容器更新

无论采用哪种解决方案，都需要确保配置在容器重启或更新后不会丢失。以下是几种持久化配置的方法：

5.1 使用Docker卷挂载配置文件

创建Docker卷或将主机目录挂载到容器中：

docker run -itd --name onlyoffice \ -v /opt/onlyoffice/config:/etc/onlyoffice/documentserver \ -v /opt/onlyoffice/certs:/etc/onlyoffice/documentserver/nginx \ -p 8080:80 -p 9000:443 \ onlyoffice/documentserver

5.2 创建自定义Docker镜像

编写Dockerfile创建包含你配置的自定义镜像：

FROM onlyoffice/documentserver:latest COPY onlyoffice.crt /etc/onlyoffice/documentserver/nginx/ COPY onlyoffice.key /etc/onlyoffice/documentserver/nginx/ COPY default.json /etc/onlyoffice/documentserver/ RUN update-ca-certificates

然后构建并运行：

docker build -t my-onlyoffice . docker run -itd --name onlyoffice -p 8080:80 -p 9000:443 my-onlyoffice

5.3 使用Docker Compose管理配置

创建docker-compose.yml文件：

version: '3' services: onlyoffice: image: onlyoffice/documentserver volumes: - ./config:/etc/onlyoffice/documentserver - ./certs:/etc/onlyoffice/documentserver/nginx ports: - "8080:80" - "9000:443" restart: always

然后启动服务：

docker-compose up -d

6. 高级配置与性能优化

除了解决证书问题，你还可以通过以下配置优化OnlyOffice Document Server的性能和稳定性：

6.1 调整JWT设置

在default.json中配置JWT（JSON Web Token）以提高安全性：

"token": { "enable": { "request": { "inbox": true, "outbox": true }, "browser": true }, "inbox": { "header": "Authorization" }, "outbox": { "header": "Authorization" }, "secret": "your_strong_secret_key_here" }

6.2 配置存储后端

默认情况下，OnlyOffice使用本地文件系统存储临时文件。对于高负载环境，可以配置Redis或RabbitMQ：

"redis": { "host": "redis", "port": 6379 }, "rabbitmq": { "url": "amqp://guest:guest@rabbitmq:5672" }

6.3 调整转换器参数

优化文档转换性能：

"converter": { "maxprocesses": 4, "timeout": 120000, "maxrequests": 1000, "maxconverts": 1000 }

7. 常见问题排查

即使按照上述步骤配置，仍可能遇到一些问题。以下是常见问题及其解决方案：

7.1 容器启动失败

检查容器日志：

docker logs your_onlyoffice_container_id

常见原因包括：

• 端口冲突（确保80和443端口未被占用）
• 证书文件权限问题（确保nginx用户可以读取证书文件）
• 配置文件语法错误（使用jq工具验证JSON格式）

7.2 文档预览仍然失败

检查以下方面：

• 确保所有服务都已启动：

  supervisorctl status

• 检查Nginx错误日志：

  tail -f /var/log/onlyoffice/documentserver/nginx.error.log

• 验证证书是否被正确加载：

  openssl s_client -connect localhost:443 -showcerts

7.3 性能问题

如果文档转换速度慢，可以：

• 增加容器资源限制（CPU和内存）
• 调整converter.maxprocesses参数
• 考虑使用分布式部署方案

8. 安全最佳实践

在解决证书问题的同时，不应忽视整体安全性：

1. 定期更新容器镜像：

   docker pull onlyoffice/documentserver:latest

2. 限制网络访问：

   • 使用防火墙规则限制OnlyOffice端口的访问
   • 考虑将OnlyOffice部署在内网

3. 监控与日志：

   • 设置日志轮转
   • 监控关键指标（CPU、内存、转换队列长度）

4. 备份策略：

   • 定期备份重要配置文件
   • 考虑使用Docker卷备份工具

在实际部署中，我倾向于使用Let's Encrypt证书配合Docker Compose管理配置，这样既保证了安全性，又便于维护和更新。对于内部测试环境，可以临时禁用证书验证，但务必在正式上线前配置合适的证书方案。