راهنمای پروکسی معکوس nginx

پروکسی معکوس چه کاری انجام می‌دهد

• یک نقطهٔ ورود عمومی. nginx روی پورت‌های 80 و 443 گوش می‌دهد و هر دامنه یا مسیر را به برنامهٔ درست می‌فرستد، بنابراین خود برنامه‌ها هرگز مستقیم در معرض اینترنت قرار نمی‌گیرند.
• HTTPS در یک جا. nginx گواهی‌ها را مدیریت می‌کند؛ برنامه‌های پشت آن می‌توانند روی localhost با HTTP ساده کار کنند.
• چند برنامه روی یک سرور. app.example.com، api.example.com و example.com/blog هر کدام می‌توانند به سرویس متفاوتی بروند.
• امکانات اضافه: فشرده‌سازی، کش، محدودیت آپلود و قوانین دسترسی، بدون دست زدن به برنامه.

گام 1: نصب nginx

sudo apt update
sudo apt install nginx

http://your-server-ip را باز کنید؛ باید صفحهٔ خوش‌آمدگویی nginx را ببینید. اگر از ufw استفاده می‌کنید، ترافیک وب را با sudo ufw allow 'Nginx Full' مجاز کنید.

مطمئن شوید برنامهٔ شما در حال اجراست و روی خود سرور در دسترس است، مثلاً با curl http://127.0.0.1:3000. اگر این کار نکند، nginx هم کار نخواهد کرد.

گام 2: ساخت بلاک server برای پروکسی

در Ubuntu هر سایت یک فایل در /etc/nginx/sites-available/ دارد که با یک لینک در sites-enabled فعال می‌شود. فایل /etc/nginx/sites-available/app.example.com را بسازید:

server {
    listen 80;
    server_name app.example.com;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

آن را فعال کنید، پیکربندی را تست کنید و دوباره بارگذاری کنید:

sudo ln -s /etc/nginx/sites-available/app.example.com /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl reload nginx

رکورد A دامنه را به سرور خود اشاره دهید؛ حالا http://app.example.com برنامهٔ شما را نشان می‌دهد. همیشه پیش از بارگذاری دوباره nginx -t را اجرا کنید: اشتباه‌های تایپی را پیش از آنکه سایت را از کار بیندازند پیدا می‌کند.

هدرها و اسلش انتهایی

• Host دامنه‌ای را که بازدیدکننده درخواست کرده منتقل می‌کند. بدون آن، nginx آدرس داخل proxy_pass را می‌فرستد و برنامه‌هایی که لینک‌ها را از host می‌سازند خراب می‌شوند.
• X-Real-IP و X-Forwarded-For آدرس IP بازدیدکننده را منتقل می‌کنند. بدون آن‌ها هر درخواست انگار از 127.0.0.1 آمده است.
• X-Forwarded-Proto به برنامه می‌گوید آیا بازدیدکننده از HTTPS استفاده کرده یا نه، تا در حلقهٔ ریدایرکت نیفتد.

بستهٔ nginx در Ubuntu این خطوط را در /etc/nginx/proxy_params دارد، پس include proxy_params; یک میان‌بر است.

اسلش انتهایی مهم است. برای برنامه‌ای زیر یک مسیر:

location /app/ {
    proxy_pass http://127.0.0.1:3000/;
}

با اسلش بعد از پورت، /app/login به‌صورت /login به برنامه می‌رسد. بدون آن، برنامه کل /app/login را دریافت می‌کند.

WebSockets

برنامه‌های چت، داشبوردهای زنده و بسیاری از پنل‌های مدیریت از WebSockets استفاده می‌کنند که به دو هدر اضافه نیاز دارد. این map را یک بار داخل بلاک http اضافه کنید، مثلاً در فایل جدید /etc/nginx/conf.d/websocket.conf:

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

سپس داخل location:

proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;
proxy_read_timeout 1h;

nginx اتصال پروکسی‌شده‌ای را که 60 ثانیه چیزی نفرستد می‌بندد؛ مقدار بلندتر proxy_read_timeout اتصال‌های WebSockets بی‌صدا را باز نگه می‌دارد. proxy_http_version 1.1 فقط از nginx 1.29.7 به بعد پیش‌فرض است و Ubuntu 24.04 نسخهٔ 1.24 را دارد، پس این خط را نگه دارید.

گام 3: HTTPS رایگان با Certbot

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot
sudo certbot --nginx -d app.example.com

Certbot یک گواهی رایگان Let's Encrypt می‌گیرد، تنظیمات HTTPS را به بلاک server شما اضافه می‌کند و می‌تواند HTTP را به HTTPS ریدایرکت کند. گواهی را خودکار تمدید می‌کند؛ با sudo certbot renew --dry-run بررسی کنید. دربارهٔ گواهی‌ها در چگونه یک گواهی SSL رایگان بگیریم بیشتر بخوانید.

رفع خطاهای 502، 504 و 413

بعد از هر تغییر: sudo nginx -t و سپس sudo systemctl reload nginx.

اجرا روی VPS در HytHost

پروکسی معکوس به سروری نیاز دارد که پورت‌های 80 و 443 آن در اختیار شما باشد. پلن‌های HytHost VPS روی KVM با دسترسی کامل root، فضای ذخیره‌سازی SSD و محافظت DDoS اجرا می‌شوند؛ Ubuntu 24.04 را انتخاب کنید و گام‌های بالا را دنبال کنید. برنامه‌هایتان را در کانتینر اجرا می‌کنید؟ اول Docker را با چگونه Docker را روی Ubuntu نصب کنیم راه‌اندازی کنید و پورت‌های کانتینرها را به 127.0.0.1 ببندید تا فقط nginx به آن‌ها دسترسی داشته باشد.