Lithuania · Proxy_Hosting · 27-10-2026
Reverse proxy stovi tarp interneto ir jūsų backend paslaugų. Namų serveriui Vilniuje ar Kaune tai konkreti nauda: vienas viešas IP ir vienas HTTPS sertifikatas gali aptarnauti kelias paslaugas – Nextcloud, Zabbix, „Home Assistant“ ar vidinę administravimo panelę. Nginx priima užklausą, patikrina TLS ir perduoda ją į localhost arba į vidinį tinklą, todėl backendas nebeatviras visam internetui.
Tipiška klaida – atidaryti 8080 ar 3000 portą tiesiai į išorę, o po to stebėtis, kodėl loguose pilna bandymų prisijungti. Geriau uždaryti viską, išskyrus 80 ir 443, o backendą pririšti prie 127.0.0.1. Jei serveris turi viešą IPv6 adresą (Telia ar Init kvartaluose tai norma), nepamirškite uždaryti ir IPv6 prievadų – daugelis pamiršta, o skeneriai jų nepamiršta.
Lietuvoje populiari praktika – serveris laikomas namuose už CGNAT ryšio, o proxy dedamas į pigų VPS. Tada VPS tampa „priekine“ dalimi, o namų mašina jungiasi per tunelį. Tokia schema veikia su bet kuriuo operatoriumi, nes nereikia viešo IP adreso.
Vidiniai įrankiai – Zabbix, GitLab ar dokumentų saugykla – dažnai reikalauja vieningo prisijungimo. Nginx gali atlikti SAML autentifikaciją per auth_request modulį: proxy perduoda kiekvieną užklausą mažam autentifikacijos servisui, o šis grąžina 200 arba 401. Backend programa net neįtaria, kad vartotojas prisijungė per organizacijos tapatybės teikėją.
Praktinis patarimas: sesijos slapuką laikykite tame pačiame domene kaip ir paslauga, kitaip naršyklės vis dažniau blokuos trečiųjų šalių slapukus. Jei turite kelis subdomenus, geriau naudoti bendrą pagrindinį domeną, o ne atskirus. Ir būtinai nustatykite proxy_set_header X-Forwarded-Proto https – be jo aplikacija generuoja neteisingus nukreipimus ir cikliškai meta į prisijungimo puslapį.
Zabbix proxy yra atskiras komponentas, renkantis metrikas iš agentų ir perduodantis jas į pagrindinį serverį. Dažna klaida – proxy įrašyti į nginx reverse proxy grandinę ir tikėtis, kad jis veiks per HTTP. Zabbix proxy naudoja savo protokolą per 10051 portą, todėl jam reikia tiesioginio maršruto arba atskiro srauto taisyklės. Jei matote „cannot connect to proxy“ pranešimus, pirmiausia tikrinkite, ar tarp serverio ir proxy atviras 10051, o ne nginx konfigūraciją.
Kai prieš nginx dar stovi HAProxy ar debesų balansuotojas, backendas mato tik balansuotojo IP. Tada HAProxy proxy protocol tampa būtinas: jis perduoda originalų kliento adresą papildoma antrašte, o nginx su proxy_protocol parametru atkuria teisingą IP. Be jo visi vartotojai loguose atrodo kaip vienas adresas, o fail2ban blokuoja ne tą, ką reikia.
Kitas dažnas scenarijus – SSH proxy tunnel Linux aplinkoje. Kai reikia pasiekti vidinę paslaugą iš svetimo tinklo, pakanka komandos su -L parametru: ji atidaro lokalų portą, kuris nukreipia srautą per SSH į serverį. Tai pigiausias būdas prisijungti prie Zabbix web sąsajos viešbučio Wi-Fi tinkle, nenaudojant jokio VPN. Trūkumas – tunelis nutrūksta užmigus nešiojamajam; autossh su keepalive tai išsprendžia.
Nepainiokite tunelio su relay. Relay tiesiog perduoda srautą toliau ir dažnai nešifruoja, o tunelis sukuria šifruotą kanalą. Jei reikia tik pasiekti vieną portą, SSH tunelis yra paprastesnis nei pilnas VPN. Jei reikia maršrutuoti visą naršyklės srautą, geriau rinktis VPN protokolą, pavyzdžiui, WireGuard.
Pirmoji – neteisingai nustatyti antraštės dydžiai. Nginx numatytasis client_max_body_size yra 1 MB, todėl failų įkėlimas į Nextcloud ar dokumentų sistemą tiesiog nutrūksta be aiškios klaidos. Antroji – pasenęs TLS nustatymas, kai paliekamas TLS 1.0 ar silpni šifrai; šiandien pakanka TLS 1.2 ir 1.3.
Trečioji klaida – DNS įrašai. Jei domenas talpinamas pas Lietuvos registratorių, o MX įrašai nukreipiami per Cloudflare proxy, pašto srautas gali sutrikti, nes proxy režimas skirtas HTTP, ne SMTP. Pašto įrašus palikite „DNS only“, o proxy junkite tik A ir CNAME įrašams, skirtiems žiniatinkliui.
Ketvirta – pamirštas laiko limitas. Ilgai trunkantys užklausimai (ataskaitų generavimas, eksportas) nutrūksta dėl numatyto 60 sekundžių proxy_read_timeout. Jei Zabbix ataskaita kraunasi ilgiau, padidinkite limitą tik tam konkrečiam maršrutui, o ne visam serveriui.
Galiausiai – atnaujinimų tvarka. Kai nginx ar HAProxy atnaujinami per paketų tvarkyklę, konfigūracija kartais lieka sena, o sertifikatai nepersikrauna. Paprastas nginx -t prieš perkrovimą ir automatinis Certbot atnaujinimas išsprendžia didžiąją dalį netikėtumų. Serverio administravimas Lietuvoje dažnai patikėtas vienam žmogui, todėl dokumentuota konfigūracija ir atsarginė kopija yra vertingesnė už bet kokį sudėtingą sprendimą.