Instalace Nginx Proxy Manager – 2minutový průvodce nastavením

Co potřebujete před zahájením

Aby mohl Nginx Proxy Manager (NPM) fungovat, musí existovat tři věci. Za prvé, linuxový server nebo PC s již nainstalovanými a funkčními nástroji Docker a Docker Compose – NPM běží jako kontejner, nikoli jako běžný program. Za druhé, název domény, jejíž DNS můžete upravovat, protože každá služba má svou vlastní subdoménu. Zatřetí, váš router nebo cloudový firewall musí být schopen předávat porty 80 a 443 tomuto počítači.

Nejprve nasměrujte DNS své domény na server

NPM směruje provoz podle názvu a Lets Encrypt vydává certifikáty pouze pro názvy, které prokazatelně ukazují na váš počítač – název se tedy musí vyřešit, než na něm něco postavíte. U svého registrátora nebo hostitele DNS přidejte záznam A: Název je pouze slovo subdomény (například app) a Hodnota je veřejná IP adresa vašeho serveru. Každá služba má svůj vlastní záznam a všechny mohou ukazovat na stejnou IP - NPM odděluje služby později podle názvu. Při testování nastavte krátké TTL, například 300 sekund, takže chyby zmizí během minut místo hodin.

Než budete pokračovat, ověřte to: zkontrolujte, zda se název překládá na vaši veřejnou IP z vnější sítě (například z telefonu s vypnutou Wi-Fi). Vyžádání certifikátu proti nefunkčnímu odpadu DNS umožňuje pokusy o šifrování a opakované selhání vás mohou omezit na hodiny. Na pořadí záleží: DNS první, proxy hostitel druhý, certifikát třetí.

Vytvořte složku a nový soubor

Vytvořte složku pro NPM na serveru a uložte do ní níže uvedený soubor jako docker-compose.yml. Tento jediný soubor představuje kompletní instalaci. Název obrázku je oficiální obrázek komunity. Porty 80 a 443 jsou veřejné dveře, port 81 je panel pro správu a na dvou svazcích se nachází celé vaše nastavení: ./data obsahuje databázi se všemi hostiteli proxy a ./letsencrypt obsahuje vaše certifikáty. Ztratíte tyto dvě složky a přijdete o celé nastavení – zálohujte je, jakmile budou věci spuštěny.

services:
  app:
    image: 'jc21/nginx-proxy-manager:latest'
    restart: unless-stopped
    ports:
      - '80:80'
      - '443:443'
      - '81:81'
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt

Řádek restart: if-stopped po restartu automaticky vrátí NPM zpět.

Spusťte Nginx Proxy Manager

Z této složky spusťte příkaz start. Docker stáhne obrázek a spustí kontejner na pozadí.

docker compose up -d

Zkontrolujte, zda běží:

docker ps

Měli byste vidět kontejner uvedený s porty 80, 443 a 81. Na malém serveru trvá první spuštění minutu nebo dvě, než se vytvoří databáze. Pokud se kontejner stále restartuje, protokoly zobrazí důvod ve srozumitelném jazyce:

docker compose logs

Devětkrát z deseti je restartovací smyčka portem, který již používá něco jiného na hostiteli - obvykle starý webový server, který stále běží.

První přihlášení – Okamžitě zabezpečte účet správce

Otevřete panel správce v prohlížeči ve vlastní síti:

http://your-server-ip:81

Udělejte to v první minutě. V závislosti na sestavení vás NPM buď požádá, abyste nahradili známé administrátorské údaje pro první přihlášení vlastním e-mailem a silným heslem, nebo – u novějších sestavení bez výchozího účtu – správce vytvoří první osoba, která otevře stránku správce. V každém případě je pravidlo stejné: nastavte si svůj vlastní účet správce v okamžiku spuštění kontejneru, než vytvoříte cokoli jiného, ​​a použijte skutečnou poštovní schránku – e-maily NPM, které řeší problémy s certifikáty.

Vytvořte svého prvního hostitele proxy

V NPM otevřete Hostitelé → Hostitelé proxy → Přidat hostitele proxy a vyplňte formulář jako jednu větu – „toto jméno patří k této interní službě“:

Názvy domén: app.yourdomain.com – přesný veřejný název z kroku 2, který již musí být převeden na váš server.
Schéma: http pro většinu domácích a kancelářských aplikací. Schéma popisuje spojení mezi NPM a interní službou, nikoli to, co používají návštěvníci - NPM se stará o veřejné šifrování u dveří. Zde zvolte https pouze v případě, že samotná interní aplikace obsluhuje HTTPS.
Přeposlat název hostitele / IP: interní adresa služby, například 192.168.1.50.
Forward Port: port, na kterém služba skutečně naslouchá, například 8080 – nikoli 80 nebo 443; to jsou dveře NPM, ne služby.

Zapněte Blokovat běžné zneužití a poté Uložit. Okamžitě otestujte otevřením názvu v prohlížeči – ideálně z telefonu s vypnutou Wi-Fi, abyste otestovali skutečnou veřejnou cestu.

Získejte bezplatný certifikát Lets Encrypt HTTPS

Udělejte to až poté, co prostý hostitel z kroku 6 již funguje – HTTPS na rozbitém hostiteli vám poskytne rozbitý hostitel s certifikátem a dvakrát více míst, kde hledat chybu. Otevřete stejného hostitele proxy, přejděte na kartu SSL, nastavte Certifikát SSL na Požádat o nový certifikát SSL, povolte Vynutit SSL a Podporu HTTP/2, odsouhlaste podmínky služby Lets Encrypt a uložte. Znovu načtěte stránku – prohlížeč by nyní měl zobrazovat visací zámek na https.

Jak to funguje: Lets Encrypt prokáže, že ovládáte jméno tím, že požádá váš server přes veřejný internet na portu 80, aby ukázal jednorázový token (výzva HTTP-01). To je důvod, proč DNS směřující na vás a dosažitelný port 80 nelze vyjednávat – selže jeden a požadavek selže a chyba je v nastavení, nikdy v Lets Encrypt. Vynutit SSL automaticky přesměruje každého návštěvníka http na https; bez něj zůstanou nezašifrované dveře otevřené vedle zašifrovaných.