nginx как reverse proxy: руководство

Что делает reverse proxy

• Одна публичная точка входа. nginx слушает порты 80 и 443 и передаёт каждый домен или путь нужному приложению, так что сами приложения никогда не смотрят в интернет напрямую.
• HTTPS в одном месте. nginx занимается сертификатами, а приложения за ним могут работать по обычному HTTP на localhost.
• Несколько приложений на одном сервере. app.example.com, api.example.com и example.com/blog могут вести к разным сервисам.
• Дополнительно: сжатие, кеширование, лимиты на загрузку и правила доступа — без изменений в самом приложении.

Шаг 1: установите nginx

sudo apt update
sudo apt install nginx

Откройте http://your-server-ip — должна появиться приветственная страница nginx. Если вы используете ufw, разрешите веб-трафик командой sudo ufw allow 'Nginx Full'.

Убедитесь, что приложение запущено и отвечает на самом сервере, например через curl http://127.0.0.1:3000. Если это не работает, не заработает и nginx.

Шаг 2: создайте блок server для прокси

В Ubuntu у каждого сайта есть файл в /etc/nginx/sites-available/, который включается ссылкой в sites-enabled. Создайте /etc/nginx/sites-available/app.example.com:

server {
    listen 80;
    server_name app.example.com;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Включите его, проверьте конфигурацию и перезагрузите:

sudo ln -s /etc/nginx/sites-available/app.example.com /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl reload nginx

Направьте A-запись домена на ваш сервер, и http://app.example.com начнёт показывать ваше приложение. Всегда запускайте nginx -t перед перезагрузкой: команда находит опечатки до того, как они уронят сайт.

Заголовки и завершающий слеш

• Host передаёт домен, который запросил посетитель. Без него nginx отправляет адрес из proxy_pass, и приложения, которые строят ссылки по хосту, ломаются.
• X-Real-IP и X-Forwarded-For передают IP-адрес посетителя. Без них каждый запрос выглядит так, будто пришёл с 127.0.0.1.
• X-Forwarded-Proto сообщает приложению, использовал ли посетитель HTTPS, чтобы оно не уходило в бесконечные редиректы.

Пакет nginx в Ubuntu уже содержит эти строки в /etc/nginx/proxy_params, поэтому include proxy_params; — удобное сокращение.

Завершающий слеш имеет значение. Для приложения, расположенного по пути:

location /app/ {
    proxy_pass http://127.0.0.1:3000/;
}

Со слешем после порта /app/login приходит в приложение как /login. Без него приложение получает полный путь /app/login.

WebSockets

Чаты, live-панели и многие админ-панели используют WebSockets, которым нужны два дополнительных заголовка. Добавьте этот map один раз внутри блока http, например в новом файле /etc/nginx/conf.d/websocket.conf:

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

Затем в location:

proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;
proxy_read_timeout 1h;

nginx закрывает проксируемое соединение, по которому 60 секунд ничего не передаётся; более длинный proxy_read_timeout держит открытыми «тихие» WebSocket-соединения. proxy_http_version 1.1 стал значением по умолчанию только в nginx 1.29.7, а в Ubuntu 24.04 поставляется 1.24, так что оставьте эту строку.

Шаг 3: бесплатный HTTPS с Certbot

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot
sudo certbot --nginx -d app.example.com

Certbot получает бесплатный сертификат Let's Encrypt, добавляет настройки HTTPS в ваш блок server и может перенаправлять HTTP на HTTPS. Сертификат продлевается автоматически; проверить это можно командой sudo certbot renew --dry-run. Подробнее о сертификатах — в руководстве как получить бесплатный SSL-сертификат.

Как исправить ошибки 502, 504 и 413

После каждого изменения: sudo nginx -t, затем sudo systemctl reload nginx.

Запуск на VPS от HytHost

Для reverse proxy нужен сервер, на котором вы управляете портами 80 и 443. Тарифы VPS от HytHost работают на KVM с полным root-доступом, SSD-хранилищем и защитой от DDoS; выберите Ubuntu 24.04 и следуйте шагам выше. Запускаете приложения в контейнерах? Сначала установите Docker по руководству как установить Docker на Ubuntu и привяжите порты контейнеров к 127.0.0.1, чтобы к ним мог обращаться только nginx.