Schritt-für-Schritt-Anleitung zum Einrichten eines Reverse-Proxy-Servers mit Nginx

Die Einrichtung eines Reverse-Proxys mit Nginx ist heutzutage nahezu unerlässlich, wenn Sie Ihre Webanwendungen sicherer, skalierbarer und einfacher zu verwalten gestalten möchten . Sie benötigen keine umfangreiche Infrastruktur, um davon zu profitieren: Schon mit nur ein oder zwei Diensten werden Sie einen deutlichen Unterschied in Leistung und Struktur feststellen.

In diesem Leitfaden erfahren Sie, wie Nginx als Vermittler zwischen Clients und Ihren Anwendungen fungiert, wie es sich in Apache, .NET, Docker und containerisierte Dienste integriert, welche Konfigurationsanweisungen wirklich wichtig sind und wie Sie alles auf modernen Linux- Servern wie Ubuntu feinabstimmen können , einschließlich HTTPS, Lastverteilung, Caching und einigen Sicherheitsoptimierungen.

Was ist ein Nginx Reverse-Proxy und welche Rolle spielt er in Ihrer Architektur?

Wenn von Nginx die Rede ist, denken viele nur an einen Webserver für statische Seiten. Doch seit Jahren ist eine seiner Hauptanwendungen die Rolle eines leistungsstarken Reverse-Proxy-Servers . In dieser Funktion befindet er sich vor einem oder mehreren Backend-Servern (z. B. Apache, .NET-Anwendungen, Docker-Container, Gunicorn für Python , Node.js usw.) und empfängt alle Client-Anfragen.

Anstatt dass der Browser direkt eine Verbindung zu Ihrer Anwendung herstellt, wird diese Verbindung immer über Nginx hergestellt. Nginx entscheidet dann selbst, wie jede Anfrage verarbeitet wird: ob die Inhalte selbst ausgeliefert werden können (z. B. statische Dateien) oder ob sie zur Verarbeitung an ein bestimmtes Backend weitergeleitet und die Antwort anschließend an den Client zurückgesendet wird.

Diese mittlere Schicht bietet klare Vorteile: Sie verbirgt die tatsächlichen IP-Adressen interner Server, zentralisiert die Verwendung von TLS-Zertifikaten, wendet Sicherheitsregeln an einem zentralen Punkt an und vereinfacht die Bereitstellung neuer Anwendungen erheblich. Darüber hinaus kann Nginx Tausende gleichzeitiger Verbindungen mit sehr geringem Ressourcenverbrauch verarbeiten und ist somit ideal für Umgebungen mit hohem Datenverkehr geeignet.

In komplexeren Umgebungen wird Nginx auch als Load Balancer und Gateway zu Kubernetes-Architekturen, als Ingress-Controller oder als API-Gateway eingesetzt, um das Routing von Anfragen an Microservices zu übernehmen und Richtlinien wie Caching, Ratenbegrenzungen oder Authentifizierung durchzusetzen.

Wie Nginx Anfragen als Reverse-Proxy verarbeitet

Wenn ein Client eine HTTP- oder HTTPS-Anfrage an Ihre Domain sendet, erreicht diese Anfrage zunächst den Server, auf dem Nginx ausgeführt wird. Ab diesem Zeitpunkt verläuft der grundlegende Ablauf wie folgt: Nginx analysiert die URL, die Header, die Methode und den Host.Block finden server und der Block location die am besten passt und entscheidet, was mit der Anfrage zu tun ist.

Wenn die angeforderte Ressource statisch ist (Bilder, CSS, JS, Downloads usw.), liefert Nginx sie normalerweise direkt aus dem Dateisystem oder sogar aus seinem internen Cache aus, wodurch die Antwortzeit erheblich reduziert und verhindert wird, dass Backends Zeit mit Inhalten verschwenden, die sie nicht verarbeiten müssen.

Wenn die Anfrage jedoch Geschäftslogik erfordert (z. B. eine von WordPress generierte Seite, eine .NET Core-API oder eine Jenkins-Anwendung), leitet Nginx diese Anfrage an einen der mithilfe der Direktive konfigurierten Backend-Server weiter. proxy_passEs wartet auf die Antwort und sendet sie an den Client zurück, als ob sie direkt von Nginx käme.

Diese Weiterleitung erfolgt nicht zufällig: Nginx unterstützt verschiedene Load-Balancing-Algorithmen. Der einfachste ist Round-Robin , der die Anfragen der Reihe nach auf alle Knoten verteilt. Alternativ können Sie least_conn (das die Anfrage an den Backend-Server mit den wenigsten aktiven Verbindungen sendet) oder ip_hash verwenden , wodurch jeder Client mit demselben Server verbunden bleibt und so Sitzungen aufrechterhalten werden, ohne dass diese zwischen Instanzen geteilt werden müssen.

In fortgeschrittenen Umgebungen können Sie die Einstellungen mithilfe von Maps, Variablen und zusätzlichen Modulen weiter optimieren: Sie können Entscheidungen auf Basis von Headern, Inhaltstypen, Routen, Domains oder sogar benutzerdefiniertem Code treffen, der die Routing-Logik erweitert . Letztendlich beschränkt sich der Reverse-Proxy-Aspekt nicht nur auf das Weiterleiten von Datenverkehr, sondern umfasst die intelligente Steuerung des Anfrageflusses innerhalb Ihrer Infrastruktur.

Voraussetzungen für die Verwendung von Nginx als Reverse-Proxy

Bevor Sie wahllos Konfigurationen bearbeiten, sollten Sie sicherstellen, dass Sie bestimmte Grundvoraussetzungen erfüllen, um Probleme zu vermeiden. Sie benötigen mindestens einen Server mit Root- oder Sudo -Zugriff (in der Regel einen VPS oder einen Cloud-Server), auf dem Sie Nginx installieren und dessen Dienste verwalten können.

Es ist außerdem wichtig zu haben eine oder mehrere Domains, die auf die öffentliche IP-Adresse verweisen vom Nginx-Server. Es ist zwar möglich, nur mit IP-Adressen zu arbeiten, aber für reale Umgebungen und um SEOFür TLS-Zertifikate und das Surfen im Internet ist es üblich, Domainnamen und Subdomains zu verwenden: zum Beispiel example.com, jenkins.example.com, api.example.com, usw.

Darüber hinaus müssen die Backend-Server, die sich hinter dem Proxy befinden, bereits betriebsbereit sein: Dies können Apache-Server, ASP.NET Core-Anwendungen auf Port 5000, Docker-basierte Dienste, WordPress auf einem anderen Server oder alles andere sein, was auf HTTP/HTTPS lauscht und Anfragen verarbeitet.

Stellen Sie auf Netzwerkebene sicher, dass die Systemfirewall eingehenden Datenverkehr auf den Ports 80 (HTTP) und 443 (HTTPS) zulässt . Unter Ubuntu mit UFW genügt es, das Profil „Nginx Full“ zu aktivieren, um beide Ports zu öffnen, ohne dass manuelle Regeln definiert werden müssen.

Schließlich ist es hilfreich, ein grundlegendes Verständnis der Nginx-Syntax zu haben und, falls Sie verschlüsselte Inhalte bereitstellen möchten, gültige TLS-Zertifikate (zum Beispiel von Let's Encrypt) für die von Ihnen verwendeten Domains zu besitzen, damit Sie HTTPS-Verbindungen in Nginx beenden und den Datenverkehr vor dem Client schützen können.

Nginx-Installation und grundlegende Konfigurationsstruktur

Bei Distributionen wie Ubuntu ist die Installation von Nginx praktisch mit wenigen Befehlen erledigt . Üblicherweise aktualisiert man zuerst die Systempakete und installiert dann den Webserver über den Paketmanager, um eine stabile Version zu erhalten, die gut in systemd integriert ist.

Nach der Installation startet Nginx einen Daemon, der verwaltet wird von systemctlSie können seinen Status überprüfen, ihn starten, stoppen, neu starten oder ihn so konfigurieren, dass er mit dem System startet. Dieses Servicemodell bewirkt, dass sich sowohl Nginx als auch die Backend-Anwendungen wie folgt verhalten. Hintergrundprozesse, die automatisch starten nach einem Neustart des Rechners.

Die Hauptkonfiguration befindet sich in /etc/nginx/nginx.confIn der Praxis wird diese Datei jedoch so gut wie nie verändert. Sie enthält andere wichtige Dateien und Verzeichnisse, wie zum Beispiel /etc/nginx/conf.d/ und das Binomial /etc/nginx/sites-available / /etc/nginx/sites-enabled, wo die Definitionen virtueller Standorte gespeichert sind.

Die gängige Vorgehensweise besteht darin, pro Domäne oder Dienst eine Konfigurationsdatei zu erstellen. sites-available und aktivieren Sie es dann mit einem symbolischen Link in sites-enabledDies ermöglicht es Ihnen, Websites einfach zu aktivieren oder zu deaktivieren, ohne deren Dateien zu löschen, und Sorgen Sie auch auf Servern mit vielen verschiedenen Diensten für eine übersichtliche Konfiguration..

Innerhalb dieser Dateien stechen zwei grundlegende Blöcke hervor. Der Block server, welche jeden virtuellen Server definiert (Domäne, Port, Zertifikate, Protokolle), und die Blöcke location, die steuern, wie bestimmte Routen behandelt werden: Bereitstellung von statischen Inhalten, Proxying, Umleitung, Caching usw.

Konfigurieren Sie Nginx als einfachen Reverse-Proxy.

Um mit den Grundlagen zu beginnen, definieren Sie einfach einen Block. server das auf Port 80 für Ihre Domain lauscht und darin einen Block enthält location Das leitet den gesamten Datenverkehr an das entsprechende Backend weiter. Praktisch bedeutet das für Nginx: ein einziger Zugangspunkt zu Ihrer Bewerbung.

Der Kern der Proxy-Konfiguration basiert auf der Direktive proxy_passDies gibt die interne URL des Backend-Servers an. Sie kann auf eine IP-Adresse und einen Port, eine interne Domäne oder einen Block verweisen. upstream Das gruppiert mehrere Server, je nachdem, wie komplex Ihre Architektur ist.

Zusammen mit proxy_pass Es ist entscheidend, mit proxy_set_header um relevante Informationen der ursprünglichen Anfrage zu erhalten: den angeforderten Host, die tatsächliche IP-Adresse des Clients oder das Schema (HTTP/HTTPS). Diese Header (Host, X-Real-IP, X-Forwarded-For, X-Forwarded-Protousw.) erlauben Sie dem Backend Den Datenverkehr ordnungsgemäß protokollieren, konsistente absolute URLs generieren und kann Logik basierend auf der Herkunft des Kunden anwenden.

Darüber hinaus ist es in nahezu jeder seriösen Umgebung ratsam, Proxy-Timeouts mit Direktiven wie den folgenden zu verwalten: proxy_connect_timeout, proxy_send_timeout y proxy_read_timeoutDurch die Anpassung dieser Einstellungen lässt sich verhindern, dass langsame Verbindungen oder langwierige Prozesse den Server zum Absturz bringen, insbesondere bei rechenintensiven Operationen oder Hintergrundbefehlen, deren Antwortzeit lange dauert.

Lastverteilung und Multi-Backend-Management

Wenn Ihre Anwendung wächst oder Sie hohe Verfügbarkeitsanforderungen haben, kann Nginx als Load Balancer vor mehreren BackendsDazu wird ein Block definiert. upstream dort sind die Server aufgelistet, die Teil des Zielpools sein werden.

Innerhalb dieses Blocks upstream Sie können zusätzliche Direktiven hinzufügen: Gewichtungen zur Priorisierung bestimmter Knoten, Algorithmen zur AnforderungsverteilungKeepalive-Parameter dienen der Aufrechterhaltung persistenter Verbindungen usw. Ziel ist es, den eingehenden Datenverkehr effizient zu verteilen, ohne dass ein einzelner Server zum Flaschenhals wird.

Sobald die Gruppe definiert ist, proxy_pass des Blocks server Es verweist auf den Upstream-Namen und nicht auf eine bestimmte IP-Adresse. Von dort wird jede eingehende Anfrage gemäß der gewählten Load-Balancing-Strategie an einen der Backend-Server weitergeleitet, sodass Das Hinzufügen oder Entfernen eines dieser Knoten erfordert lediglich eine Änderung des vorgelagerten Blocks., ohne die übrigen Einstellungen zu verändern.

Dieser Ansatz lässt sich nahtlos in Docker- oder Swarm-Umgebungen integrieren, in denen jeder Dienst einen internen Port bereitstellt und Nginx die externen Zugriffe verwaltet. Häufig werden auch Anwendungen wie Jenkins, GitLab, SonarQube oder Nexus gruppiert, jede in einem eigenen Container, und Nginx übernimmt den gesamten externen Zugriff zentral von einem einzigen Punkt aus.

Wenn Ihre Infrastruktur über mehrere Maschinen verteilt ist, ermöglicht Ihnen ein Proxy dieser Art, Dienste in verschiedenen Instanzen mit dedizierten Ressourcen zu isolieren und gleichzeitig der Außenwelt eine einzige Domäne oder eine Reihe gut organisierter Domänen anzubieten.

Verwaltung statischer Inhalte, Caching und Leistung

Eine der größten Stärken von Nginx im Vergleich zu anderen Servern ist seine Effizienz bei der Auslieferung statischer Inhalte. Um dies in einem Reverse-Proxy-Szenario effektiv zu nutzen, muss Folgendes definiert werden: bloques location speziell für statische Routensodass sie nur dann an das Backend gesendet werden, wenn dies unbedingt erforderlich ist.

In diesen Blöcken können Sie den Pfad zum lokalen Verzeichnis angeben, in dem die Dateien gespeichert sind, Header mit langer Gültigkeitsdauer hinzufügen und Komprimierungs- und Caching-Mechanismen aktivieren. Dadurch kann der Browser des Benutzers Ressourcen länger speichern, und Nginx muss nicht bei jeder Anfrage nach kaum geänderten Dateien alles neu berechnen.

Darüber hinaus ermöglicht Nginx ein fortschrittlicheres Caching-System innerhalb des Proxys selbst, mithilfe von Direktiven wie beispielsweise proxy_cache y proxy_cache_pathSie können eine Festplatten-Cache-Zone mit maximaler Größe, Leerlaufzeit und Verzeichnisebenen zum Speichern von Antworten definieren und diesen Cache dann in den Proxy-Blöcken zu Ihren Backends aktivieren.

In Kombination mit dynamischen Backends (z. B. WordPress oder Anwendungen in PHP, .NET oder Python) werden die häufigsten Anfragen direkt aus dem Nginx-Cache bedient, ohne dass das Backend sie neu berechnen muss . Dies führt zu geringerer CPU- und Speicherauslastung, schnelleren Antwortzeiten und einer höheren Kapazität zur Bewältigung von Traffic-Spitzen.

Wenn Ihr Projekt viele wiederholte Ressourcen enthält, wie z. B. HTML-Snippets, die auf verschiedenen Seiten erscheinen, können Sie auch auf externe Tools wie Varnish oder die Verwendung von ESI (Edge Side Includes) in Kombination mit Reverse-Proxys zurückgreifen, um die Auslieferung modularer Inhalte weiter zu beschleunigen.

Sicherheit: TLS-Terminierung, Firewalls und Header

Ein Hauptgrund für den Einsatz eines Reverse-Proxys vor Ihren Servern ist die Erhöhung der Sicherheit. Indem Sie alle externen Verbindungen über Nginx leiten , können Sie Verschlüsselung, Filterung und Schutzrichtlinien zentral verwalten, ohne sie auf jedem einzelnen Backend-Server replizieren zu müssen.

Die TLS-Terminierung ist ein gutes Beispiel: Zertifikate und Schlüssel sind auf Nginx installiert und so konfiguriert, dass HTTPS-Verkehr auf Port 443 akzeptiert wird. Intern kann die Kommunikation mit den Backend-Systemen bei Bedarf über reines HTTP erfolgen, was die Konfiguration vereinfacht. Extern sieht der Benutzer jedoch eine sichere, verschlüsselte Verbindung mit Unterstützung für moderne Protokolle wie TLS 1.3 und aktuelle Verschlüsselungssammlungen.

Durch die Auslagerung der Verschlüsselung an den Proxy wird die Arbeitslast Ihrer Anwendungen reduziert, da diese nicht mehr bei jeder Verbindung Zertifikate oder Verschlüsselungsalgorithmen aushandeln müssen. Bei sehr hohem Datenverkehr und zur weiteren Leistungssteigerung können Sie sogar SSL/TLS-optimierte Module oder Hardware einsetzen.

Neben der Verschlüsselung ist es üblich, Folgendes zu definieren Sicherheitskopfstützen in der globalen Konfiguration oder in bestimmten Blöcken: Einschränkungen von Content-Security-PolicyXSS-Schutz, Blockierung von MIME-Typ-Sniffing, Kontrolle von HSTSRegeln von X-Frame-OptionsUnter anderem. All dies stärkt die Sicherheit Ihrer Anwendung, ohne dass der Quellcode geändert werden muss.

Wenn Sie dieser Ebene eine gut konfigurierte Firewall (zum Beispiel UFW unter Ubuntu) und Schutzsysteme gegen DDoS-Angriffe hinzufügen, wie etwa die Begrenzung von Anfragen pro IP-Adresse oder die Integration mit externen Diensten, erhalten Sie eine ziemlich solide Barriere, die gängige Angriffe filtert, bevor sie Ihre Anwendungsserver erreichen.

Integration mit Docker, Gunicorn und anderen Anwendungsservern

In vielen aktuellen Szenarien laufen Anwendungen nicht direkt auf dem Hostsystem, sondern in Containern oder auf dedizierten Servern. Nginx eignet sich besonders gut für diesen Ansatz, da es nicht innerhalb des Containers ausgeführt wird, sondern lediglich über HTTP mit dem von jedem Dienst freigegebenen Port kommuniziert.

In einer Python-Anwendung ist es beispielsweise üblich, dass der eigentliche Anwendungsserver Gunicorn ist. Dieser lauscht auf einem internen Port (z. B. 8000) und verwaltet mehrere Worker-Prozesse. Nginx, das vorgeschaltet ist, empfängt den öffentlichen Datenverkehr, verwaltet TLS, Komprimierung, Timeouts und Caching und leitet nur „saubere“ Anfragen an Gunicorn weiter , das sich auf die Ausführung der Anwendungslogik konzentriert.

Ähnliches gilt für Java-, Node.js- oder Ruby-Anwendungen, die spezialisierte Anwendungsserver nutzen. Nginx fungiert als gemeinsame Schnittstelle für alle diese Server und ermöglicht es Ihren Benutzern, auf eine einzelne Domain oder mehrere übersichtliche Subdomains zuzugreifen, während intern jeder Dienst in seiner eigenen Umgebung mit dem für seine Bedürfnisse optimalen Technologie-Stack läuft.

In der .NET-Welt lauschen ASP.NET Core-Anwendungen unter Linux typischerweise auf Ports wie 5000 oder 5001. Das üblicherweise befolgte Muster ist: Starten Sie die Anwendung als Dienst oder Daemon, der von systemd verwaltet wird. und konfigurieren Sie Nginx so, dass der Datenverkehr von Port 80 oder 443 an diesen internen Port weitergeleitet wird. Auf diese Weise kann der Benutzer einfach darauf zugreifen. http://localhost oder in den öffentlichen Bereich und sieht keine einzige Portnummer.

Wenn ein Fehler auftritt (z. B. wenn der Backend-Server abstürzt oder nicht auf dem richtigen Port lauscht), gibt Nginx typischerweise einen Fehler zurück. Fehlercode 502: Ungültiges GatewayÜberprüfung der Nginx-Fehlerprotokolle und Verwendung von Tools wie netstat Um zu überprüfen, welche Ports aktiv sind, können Sie direkt feststellen, ob das Problem beim Proxy oder bei der Anwendung liegt, was die Diagnose erheblich erleichtert.

Verwendung von Nginx mit WordPress und anderen CMS über einen Reverse-Proxy

Ein weiterer häufiger Anwendungsfall ist die Kombination von eine Hauptseite, die nicht WordPress ist, aber einen WordPress-Blog hataber beide unter derselben Domain und in einem Unterverzeichnis anstatt in einer Subdomain. Zum Beispiel example.com bedient von einer Plattform A und example.com/blog wird von WordPress auf einem anderen Server bereitgestellt.

Aus SEO- und Content-Organisationssicht bevorzugen viele Administratoren die Verwendung von Unterverzeichnissen anstelle von Subdomains, obwohl auf technischer Ebene Google Erklärt, dass er beide gleich behandelt. Ein Reverse-Proxy mit Nginx ermöglicht genau das: dass die Anfragen an /blog werden an einen anderen Host oder eine andere IP-Adresse gesendet., während die benutzerorientierte Domäne unverändert bleibt.

Um dies zu erreichen, wird ein Block konfiguriert. location das das betreffende Unterverzeichnis erfasst und Folgendes tut proxy_pass an die Adresse des extern gehosteten Blogs, wobei die entsprechenden Header hinzugefügt werden, damit das Backend den eigentlichen Client und gegebenenfalls das HTTPS-Schema erkennt.

Gleichzeitig werden in der WordPress-Installation hinter dem Proxy die Website- und Startseiten-URLs so angepasst, dass sie auf die Hauptdomain mit dem Unterverzeichnis verweisen, und einige Umgebungsvariablen werden geändert ($_SERVER['HTTP_HOST'], REQUEST_URIusw.) für Umleitungsschleifen oder inkonsistente Routen vermeiden.

Dieses Muster lässt sich beliebig oft wiederholen: Online-Shops in Unterverzeichnissen, interne Panels, SPA-Anwendungen usw., die jeweils an einem beliebigen Ort gehostet werden, aber dank der Reverse-Proxy-Funktion von Nginx alle unter derselben Domain laufen.

Überwachung, Protokollierung und Fehlerbehebung

Ein weiterer Vorteil der zentralen Traffic-Verwaltung in Nginx besteht darin, dass man einen zentralen Überblick über die Vorgänge hat. Der Server generiert Zugriffs- und Fehlerprotokolle in /var/log/nginx/die sowohl eingehende Anfragen als auch Fehler, die bei der Kommunikation mit Backends auftreten, erfassen.

Zugriffsprotokolle zeigen an, welche Ressourcen von welcher IP-Adresse mit welchem ​​Statuscode angefordert wurden und wie lange die Bereitstellung dauerte. Daraus lassen sich besonders langsame Routen, wiederkehrende Fehler oder Traffic-Spitzen zu bestimmten Zeiten identifizieren – sehr nützlich für die Feinabstimmung von Caching-Regeln, Ratenbegrenzungen oder Skalierungsentscheidungen.

Fehlerprotokolle sind hingegen entscheidend bei 502-, 503- oder anderen internen Kommunikationsproblemen. Sie enthalten üblicherweise Meldungen wie „Verbindung zum Upstream nicht möglich“, „Zeitüberschreitung“ oder „Syntaxfehler in Konfigurationsdateien“, wodurch sich die Fehlerursache leichter lokalisieren lässt, ohne blind suchen zu müssen.

Zusätzlich zur Protokollierung lässt sich Nginx mit externen Überwachungstools integrieren, sowohl auf Serverebene (CPU, Arbeitsspeicher, Festplatte) als auch mit Fokus auf HTTP-Metriken (Antwortzeiten, Anzahl aktiver Verbindungen, Fehlerraten). Dies ermöglicht einen umfassenden Überblick über das Verhalten des Proxys und der von ihm geschützten Dienste , was für die Verwaltung stark frequentierter Websites oder Anwendungen unerlässlich ist.

Durch die Kombination aus guten Protokollen, Warnmeldungen und einigen grundlegenden Befehlen zur Überprüfung des Status der Dienste wird es wesentlich einfacher, die Infrastruktur in einem guten Zustand zu halten und schnell zu reagieren, wenn ein Vorfall auftritt, der die Verfügbarkeit oder Leistung beeinträchtigt.

All dies macht Nginx, eingesetzt als Reverse-Proxy, zu einer zentralen Komponente vieler moderner Architekturen: Es verbessert die Performance durch die Bereitstellung statischer Dateien und Caching, stärkt die Sicherheit durch das Verbergen von Backends und die Zentralisierung von Verschlüsselungsrichtlinien, erleichtert die Bereitstellung mehrerer Anwendungen unter derselben Domain und bietet einen zentralen Punkt für die Überwachung und Kontrolle des Datenverkehrs, der in Ihre Plattform ein- und austritt.