nginx reverse proxy: handleiding

Wat een reverse proxy doet

• Eén publiek toegangspunt. nginx luistert op poort 80 en 443 en stuurt elk domein of pad door naar de juiste app, zodat de apps zelf nooit rechtstreeks aan het internet hangen.
• HTTPS op één plek. nginx regelt de certificaten; de apps erachter kunnen gewoon HTTP praten op localhost.
• Meerdere apps op één server. app.example.com, api.example.com en example.com/blog kunnen elk naar een andere dienst gaan.
• Extra's: compressie, caching, uploadlimieten en toegangsregels, zonder de app aan te raken.

Stap 1: nginx installeren

sudo apt update
sudo apt install nginx

Open http://your-server-ip en je zou de welkomstpagina van nginx moeten zien. Gebruik je ufw, sta webverkeer dan toe met sudo ufw allow 'Nginx Full'.

Controleer of je app draait en op de server zelf bereikbaar is, bijvoorbeeld met curl http://127.0.0.1:3000. Als dat mislukt, mislukt nginx ook.

Stap 2: het proxy server block aanmaken

Op Ubuntu krijgt elke site een bestand in /etc/nginx/sites-available/, dat je activeert met een link in sites-enabled. Maak /etc/nginx/sites-available/app.example.com aan:

server {
    listen 80;
    server_name app.example.com;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Activeer het, test de configuratie en herlaad:

sudo ln -s /etc/nginx/sites-available/app.example.com /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl reload nginx

Laat het A-record van het domein naar je server wijzen en http://app.example.com toont nu je app. Draai altijd nginx -t voordat je herlaadt: zo vang je typefouten af voordat ze de site platleggen.

De headers, en de slash aan het eind

• Host geeft het domein door dat de bezoeker opvroeg. Zonder deze header stuurt nginx het adres uit proxy_pass, en apps die links opbouwen vanuit de host gaan stuk.
• X-Real-IP en X-Forwarded-For geven het IP-adres van de bezoeker door. Zonder deze headers lijkt elk verzoek van 127.0.0.1 te komen.
• X-Forwarded-Proto vertelt de app of de bezoeker HTTPS gebruikte, zodat die niet in een redirect-lus belandt.

Het nginx-pakket van Ubuntu levert deze regels mee in /etc/nginx/proxy_params, dus include proxy_params; is een handige snelkoppeling.

De slash aan het eind maakt uit. Voor een app onder een pad:

location /app/ {
    proxy_pass http://127.0.0.1:3000/;
}

Met de slash na de poort komt /app/login bij de app aan als /login. Zonder slash krijgt de app het volledige /app/login.

WebSockets

Chat-apps, live dashboards en veel beheerpanelen gebruiken WebSockets, die twee extra headers nodig hebben. Voeg deze map één keer toe, binnen het http-blok, bijvoorbeeld in een nieuw bestand /etc/nginx/conf.d/websocket.conf:

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

Daarna in de location:

proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;
proxy_read_timeout 1h;

nginx sluit een geproxiede verbinding die 60 seconden niets verstuurt; de langere proxy_read_timeout houdt stille WebSockets open. proxy_http_version 1.1 is pas de standaard vanaf nginx 1.29.7, en Ubuntu 24.04 levert 1.24, dus laat de regel staan.

Stap 3: gratis HTTPS met Certbot

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot
sudo certbot --nginx -d app.example.com

Certbot haalt een gratis Let's Encrypt-certificaat op, voegt de HTTPS-instellingen toe aan je server block en kan HTTP naar HTTPS doorsturen. Het certificaat wordt automatisch verlengd; controleer dat met sudo certbot renew --dry-run. Meer over certificaten in zo krijg je een gratis SSL-certificaat.

502-, 504- en 413-fouten oplossen

Na elke wijziging: sudo nginx -t, daarna sudo systemctl reload nginx.

Draai het op een HytHost VPS

Een reverse proxy heeft een server nodig waarop jij poort 80 en 443 in handen hebt. HytHost VPS-pakketten draaien op KVM met volledige root-toegang, SSD-opslag en DDoS-bescherming; kies Ubuntu 24.04 en volg de stappen hierboven. Draai je je apps in containers? Zet dan eerst Docker op met zo installeer je Docker op Ubuntu, en bind de poorten van de containers aan 127.0.0.1, zodat alleen nginx ze kan bereiken.