nginx som omvänd proxy (reverse proxy): guide

Vad en omvänd proxy gör

• En enda publik ingång. nginx lyssnar på port 80 och 443 och skickar varje domän eller sökväg till rätt app, så att apparna själva aldrig exponeras mot internet.
• HTTPS på ett ställe. nginx hanterar certifikaten; apparna bakom kan prata vanlig HTTP på localhost.
• Flera appar på en server. app.example.com, api.example.com och example.com/blog kan gå till var sin tjänst.
• Extra: komprimering, cachning, uppladdningsgränser och åtkomstregler, utan att röra appen.

Steg 1: Installera nginx

sudo apt update
sudo apt install nginx

Öppna http://your-server-ip så bör du se nginx välkomstsida. Använder du ufw, tillåt webbtrafik med sudo ufw allow 'Nginx Full'.

Kontrollera att din app körs och går att nå på själva servern, till exempel med curl http://127.0.0.1:3000. Misslyckas det, misslyckas nginx också.

Steg 2: Skapa proxy-server-blocket

På Ubuntu får varje webbplats en fil i /etc/nginx/sites-available/, som aktiveras med en länk i sites-enabled. Skapa /etc/nginx/sites-available/app.example.com:

server {
    listen 80;
    server_name app.example.com;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Aktivera den, testa konfigurationen och ladda om:

sudo ln -s /etc/nginx/sites-available/app.example.com /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl reload nginx

Peka domänens A-post mot din server, så visar http://app.example.com nu din app. Kör alltid nginx -t innan du laddar om: det fångar stavfel innan de tar ner sajten.

Headers och det avslutande snedstrecket

• Host skickar domänen som besökaren efterfrågade. Utan den skickar nginx adressen från proxy_pass, och appar som bygger länkar utifrån host går sönder.
• X-Real-IP och X-Forwarded-For skickar besökarens IP-adress. Utan dem ser varje förfrågan ut att komma från 127.0.0.1.
• X-Forwarded-Proto talar om för appen om besökaren använde HTTPS, så att den inte omdirigerar i en loop.

Ubuntus nginx-paket har de här raderna i /etc/nginx/proxy_params, så include proxy_params; är en genväg.

Det avslutande snedstrecket spelar roll. För en app under en sökväg:

location /app/ {
    proxy_pass http://127.0.0.1:3000/;
}

Med snedstrecket efter porten når /app/login appen som /login. Utan det får appen hela /app/login.

WebSockets

Chattappar, live-dashboards och många adminpaneler använder WebSockets, som behöver två extra headers. Lägg till den här map-en en gång i http-blocket, till exempel i en ny fil /etc/nginx/conf.d/websocket.conf:

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

Sedan i location:

proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;
proxy_read_timeout 1h;

nginx stänger en proxad anslutning som inte skickar något på 60 sekunder; den längre proxy_read_timeout håller tysta WebSockets öppna. proxy_http_version 1.1 är standard först från nginx 1.29.7, och Ubuntu 24.04 levereras med 1.24, så behåll raden.

Steg 3: Gratis HTTPS med Certbot

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot
sudo certbot --nginx -d app.example.com

Certbot hämtar ett gratis Let's Encrypt-certifikat, lägger till HTTPS-inställningarna i ditt server-block och kan omdirigera HTTP till HTTPS. Certifikatet förnyas automatiskt; kontrollera med sudo certbot renew --dry-run. Mer om certifikat i så får du ett gratis SSL-certifikat.

Så åtgärdar du fel 502, 504 och 413

Efter varje ändring: sudo nginx -t, sedan sudo systemctl reload nginx.

Kör det på en HytHost VPS

En omvänd proxy behöver en server där du själv styr port 80 och 443. HytHost VPS-paket körs på KVM med full root-åtkomst, SSD-lagring och DDoS-skydd; välj Ubuntu 24.04 och följ stegen ovan. Kör du dina appar i containrar? Sätt först upp Docker med så installerar du Docker på Ubuntu, och bind containrarnas portar till 127.0.0.1 så att bara nginx når dem.