# De TLS-terminatie van Electrum Gate, als los bestand, en dat is de hele truc.
#
# nginx weigert te starten als een 'listen ... ssl' geen certificaat heeft, en
# welk certificaat dat wordt weet alleen de agent. Zolang dit blok in nginx.conf
# stond, kwam de server dus niet omhoog voordat er een keuze lag, en daarmee ook
# de web-UI niet: precies de pagina waarop die keuze gemaakt wordt. Een gebruiker
# zonder Zoraxy, of met twee kandidaten, zag daardoor helemaal niets en had geen
# enkele weg vooruit. Zo aangetroffen in 0.0.3.
#
# Nu staat het blok hier, en entrypoint.sh zet dit bestand pas in
# /var/lib/gate/tls/ zodra de agent cert.conf geschreven heeft. nginx.conf haalt
# die map op met een jokerteken, en een jokerteken dat niets matcht is voor nginx
# geen fout. Geen certificaat betekent dus: geen stream-blok, geen poort 50022,
# maar wel een werkende pagina die vertelt wat eraan mankeert.
#
# Dit bestand zit in de image als /etc/nginx/stream.conf.in. De twee plaatshouders
# __GATE_ELECTRUM_HOST__ en __GATE_ELECTRUM_PORT__ vult entrypoint.sh bij het
# starten in uit de omgeving; nginx kan in een proxy_pass van het stream-blok zelf
# geen omgevingsvariabele lezen. Tot 0.0.29 was dit een *.template in de app-map
# en deed umbreld die invulling, en daarom mocht er toen geen nginx-variabele met
# een dollarteken in staan. Die beperking is weg: het log_format staat nu gewoon
# hier en niet meer in een los bestand dat het command-blok wegschreef.

stream {
    # Let op wat er NIET in staat: geen client-adres en geen bronpoort. Dat is
    # precies het soort gegeven dat deze app van het netwerk af houdt, en om te
    # zien dat het werkt is het niet nodig.
    log_format gate '$time_iso8601 $status $bytes_received $bytes_sent $session_time';
    access_log /var/lib/gate/stream.log gate;

    server {
        # 50022 en niet 50002; de reden staat bij de ports-regel in
        # docker-compose.yml. Wijzig je dit, wijzig dan ook de hex-poort in de
        # verbindingsteller van entrypoint.sh.
        listen 50022 ssl;

        # ssl_certificate en ssl_certificate_key, geschreven door de agent op
        # grond van wat er in de certificaatmappen staat en wat de gebruiker op
        # het dashboard gekozen heeft. Daarom staat er hier geen domeinnaam meer
        # in dit bestand. Dat dit bestand bestaat betekent dat cert.conf er is:
        # entrypoint.sh zet het er pas dan neer.
        #
        # nginx wil de VOLLEDIGE keten in ssl_certificate, dus het bestand van
        # Zoraxy kan er ongewijzigd in. Splitsen in een servercertificaat en een
        # CA-deel, zoals de oude stunnel-opzet deed, is hier juist fout.
        include /var/lib/gate/cert.conf;

        ssl_protocols       TLSv1.2 TLSv1.3;

        # Een Electrum-wallet houdt een langlopende verbinding open die het
        # grootste deel van de tijd stil is. De standaardwaarde van
        # proxy_timeout is tien minuten, en die verbreekt zo'n verbinding dus
        # zonder aanleiding; de wallet merkt dat pas als hij iets wil en meldt
        # dan dat er geen data is. stunnel hanteerde hier twaalf uur, en dat
        # verschil is bij de overstap naar nginx over het hoofd gezien.
        proxy_timeout          12h;
        proxy_connect_timeout  10s;

        # Houdt de verbinding naar de backend levend en laat een verbroken
        # verbinding sneller opvallen dan pas bij het volgende verzoek.
        proxy_socket_keepalive on;

        proxy_pass __GATE_ELECTRUM_HOST__:__GATE_ELECTRUM_PORT__;
    }
}