‫استفاده از سوکت‌های یونیکس (Unix Sockets) برای ارتباط Nginx و Kestrel

Nginx -> localhost:5000 -> Kestrel

• مفهوم: مانند یک شماره تلفن عمومی در یک ساختمان است. هر کسی در ساختمان (هر فرآیندی روی سرور) که این شماره را بداند، می‌تواند با آن تماس بگیرد.
• مکانیسم: از پشته شبکه سیستم‌عامل (TCP/IP) استفاده می‌کند. حتی برای ارتباطات داخلی، داده‌ها بسته‌بندی، مسیریابی و کنترل می‌شوند.

• مفهوم: مانند یک خط ارتباطی داخلی (Intercom) مستقیم بین دو دفتر مشخص در همان ساختمان است. این یک مکالمه خصوصی و مستقیم است.
• مکانیسم: یک فایل خاص در فایل سیستم است (معمولاً با پسوند .sock). فرآیندها با خواندن و نوشتن در این فایل، با یکدیگر ارتباط برقرار می‌کنند. این ارتباط مستقیماً توسط هسته سیستم‌عامل مدیریت می‌شود و پشته شبکه را دور می‌زند.

• بررسی خطا (Checksums)
• ترتیب‌بندی بسته‌ها (Sequencing)
• مسیریابی شبکه داخلی (Localhost routing)

• یک پورت TCP به صورت پیش‌فرض برای تمام کاربران و فرآیندهای روی سرور قابل دسترس است.
• اما یک سوکت یونیکس، یک فایل است. این یعنی می‌توانیم از تمام مکانیزم‌های دسترسی فایل در لینوکس برای آن استفاده کنیم (chown, chmod). می‌توانیم دقیقاً مشخص کنیم که کدام کاربر (مثلاً www-data که کاربر Nginx است) و کدام گروه اجازه دسترسی به این سوکت را دارند. این کار جلوی دسترسی سایر فرآیندهای غیرمجاز به برنامه ما را می‌گیرد.

// In Program.cs

var builder = WebApplication.CreateBuilder(args);

// ... services configuration

builder.WebHost.ConfigureKestrel(options =>
{
    // --- قبل ---
    // options.Listen(System.Net.IPAddress.Loopback, 5000);

    // --- بعد ---
    // یک مسیر استاندارد برای فایل‌های سوکت انتخاب می‌کنیم
    options.ListenUnixSocket("/var/run/kestrel-mywebapp.sock");
});

var app = builder.Build();

// ... app configuration

app.Run();

# In /etc/nginx/sites-available/kestrel-mywebapp

server {
    # ... listen, server_name, etc.
    
    location / {
        # --- قبل ---
        # proxy_pass http://localhost:5000;

        # --- بعد ---
        # کلمه کلیدی unix: به Nginx می‌گوید که این یک سوکت یونیکس است
        proxy_pass http://unix:/var/run/kestrel-mywebapp.sock;
        
        # سایر هدرها دست‌نخورده باقی می‌مانند
        proxy_set_header Host $host;
        # ...
    }
}

[Unit]
Description=My Awesome ASP.NET Core Web App

[Service]
WorkingDirectory=/var/www/mywebapp
ExecStart=/usr/bin/dotnet /var/www/mywebapp/MyWebApp.dll

# ... Restart, KillSignal, etc.

# این خطوط کلیدی هستند
User=www-data
Group=www-data

# systemd یک پوشه در /run برای ما ایجاد می‌کند
RuntimeDirectory=kestrel-mywebapp
# دسترسی را طوری تنظیم می‌کند که کاربر و گروه (www-data) اجازه کامل داشته باشند
RuntimeDirectoryMode=0770

# ... Environment variables

[Install]
WantedBy=multi-user.target

options.ListenUnixSocket($"/run/kestrel-mywebapp/mywebapp.sock");

• وقتی سرویس استارت می‌شود، systemd پوشه /run/kestrel-mywebapp را با مالکیت www-data:www-data و دسترسی rwxrwx--- ایجاد می‌کند.
• سرویس ما با کاربر www-data اجرا شده و فایل سوکت را داخل این پوشه امن ایجاد می‌کند.
• Nginx که آن هم با کاربر www-data اجرا می‌شود، به راحتی به این سوکت دسترسی دارد.

sudo systemctl daemon-reload
sudo systemctl restart kestrel-mywebapp.service
sudo systemctl restart nginx

• برای شروع و در اکثر سناریوهای استاندارد، پورت TCP کاملاً کافی و انتخاب مناسبی است.
• برای محیط‌های پروداکشن حساس، سرورهایی با چندین سرویس، یا زمانی که به دنبال حداکثر بهینگی و امنیت هستید، سوکت‌های یونیکس انتخاب برتر و حرفه‌ای‌تری هستند.