Nginx 反向代理实战：用统一入口收拢散落端口的自托管服务

当你开始把多个自托管服务（博客、相册、Git、监控、文件同步）都跑在一台服务器上时，一个最常见也最绕不开的问题是：这些服务各自监听不同的端口，总不能每个都"裸端口 + 记一堆 IP:端口"去访问吧？域名怎么统一、HTTPS 谁来终结、谁来做负载均衡？Nginx 正是这个位置的经典主角：一个高性能的 Web 服务器和反向代理，把"对外统一入口"这件事承担起来——用域名路由到不同后端服务、统一终结 HTTPS、做负载均衡、缓存静态资源。这篇讲清它解决什么、反向代理的核心配置结构、怎么设置 location 路由与反向代理、怎么统一做 HTTPS 与负载均衡，以及它的性能与安全边界。

一、反向代理解决什么：把"散落端口的服务"收进一个统一入口

反向代理（reverse proxy）的概念很简单却极其有用：对外，所有流量都先到 Nginx 这一个网关；对内，Nginx 根据你配置的规则，把请求转发给后端的某个具体服务（不同端口、不同进程，甚至不同机器）。这样对你而言一切都是一套资源（域名/路径）访问，对用户而言只看到一台服务器、一个 HTTPS 入口，后端服务的真实位置被隐藏了一级。

这一层带来的实际收益很大：一是"域名路由"，`blog.example.com` 到博客、`git.example.com` 到 Git 服务、`photo.example.com` 到相册，各走各的端口不用记；二是"统一 HTTPS"，证书与加密只在这个入口终结一次，后端可保持内部 HTTP；三是"统一限流、缓存、日志"，一个网关集中控制。Nginx 在这里和之前聊的 Caddy/Traefik/OpenResty 是同一类思路，但 Nginx 常被认为是更普适、文档最多、能动静分离与精细调优的经典选择。

二、最小落地：配一个 server 块，把路径反代到后端服务

Nginx 的核心配置单元是"server 块 + location 块"。一个 server 对应一个站点（域名/端口），location 则在该站点内按路径做转发规则。一段最典型的反向代理配置长这样：

# /etc/nginx/conf.d/example.conf
server {
    listen 80;
    listen 443 ssl;
    server_name blog.example.com;
    # 证书与 key 统一在这里终结（配合 certbot/Let's Encrypt）
    ssl_certificate     /etc/letsencrypt/live/blog.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/blog.example.com/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:8080;      # 转给你后台运行的博客服务
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

几个细节决定了反代好不好用。一是"转发头"，`X-Forwarded-*` 让后端知道真实客户端 IP 与来源协议，很多应用靠它做真实 IP 识别与链接生成，漏了会出各种诡异问题；二是"Host 头"，很多按域名/虚拟主机路由的后端依赖它，必须透传；三是"路径匹配"，`location /` 是最常用兜底，更细的可用 `location /api/` 转发到不同后端。用"一个站点一个 server、server 内按路径/域名转后端"的结构组织，多服务才会清晰。

三、certbot + 自动续期：把 HTTPS 变成长期自动的事

反代统一终结加密后，证书管理就成了"要不要长期操心"的区别所在。自托管最普遍的组合是 Nginx + certbot（Let's Encrypt 客户端）：它自动签发证书、自动让 Nginx 重载、并用 systemd 定时任务定期自动续期。这块做好，HTTPS 就不再是"配一次忘一年"的手工负担。

# 用 certbot 为已配置的 nginx server 自动签发并接入证书
sudo certbot --nginx -d blog.example.com
# 它会改写 nginx 配置、加入自动续期的定时任务（certbot-renew）
# 之后坐等自动续期即可；可手动验证：sudo certbot renew --dry-run

落地的自我要求有三条：默认所有对外入口都走 HTTPS（配个裸 80 也 301 跳 443 更规整）；证书放在 Nginx 入口统一终结，别让每个后端也各自搞一套 SSL；把 certbot 续期纳入 systemd timer 并定期 `--dry-run`，确认自动续期一直在正常跑，别让证书悄悄过期。HTTPS 是"常驻在线服务"的地基，越早做成自动，越少半夜被"证书过期"的告警吵醒。

四、负载均衡与动静分离：从"一个入口"到"一组后端"

当某个服务跑多副本（或多台后端）时，反向代理还能顺带做负载均衡。Nginx 的 `upstream` 块定义一组后端，`proxy_pass http://后端组名` 即可按策略（默认轮询）分发给多个实例，还能配健康检查、权重和备份节点。这让"一个服务扩到多实例"后仍对外保持单一入口变得很简单。

upstream myapp {
    server 127.0.0.1:9001;
    server 127.0.0.1:9002;
    server 127.0.0.1:9003 backup;   # 备份节点，其余不可用时才上
}
server {
    listen 443 ssl;
    server_name app.example.com;
    location / { proxy_pass http://myapp; ... }
}

另一个自托管常用的优化是"动静分离 + 静态缓存"：图片、CSS/JS、上传统计等静态资源由 Nginx 直接高效返回，动态请求才转发给后端，明显降低后端压力。体验上的现实提醒是：Nginx 反代本身非常省资源，真正的拐点常在"后端服务与磁盘/带宽"，别幻想加一层 Nginx 就能治愈后端慢——它负责分发与缓存，性能根因还在后端。

五、安全与性能边界：把 Nginx 当"可调优、也要守"的入口

反向代理是网络的"前门"，既要调性能也要守安全。性能上有几条常用但别乱加的：给静态资源配 `gzip`/缓存头、按需调整 `worker_processes`、给少量大请求配超时。安全上更关键：对外只放你真正需要暴露的路径，尽量用白名单式而不是"什么都转发"；敏感管理端（如服务器面板、数据库面板）不要直接反代到公网，尽量走 VPN/Tailscale 或至少加认证；给入口统一设置合理限流与适当的访问日志，方便回溯。

# 只暴露必要路径、别整站盲目对外的示例思路：
# location = /admin { return 403; }            # 敏感路径直接拒
# 或者把管理入口从公网反代拿掉，走 Tailscale/WireGuard 内网访问

把"入口收敛、HTTPS 自动、敏感藏好、限流日志齐备"这四件事做成习惯，Nginx 就从"一个转发的配置"变成一套可长期依靠、性能可调、边界受控的对外网关。别因为它是"就一个入口"就放松警惕——正因为它收拢了所有流量，才更要把它看严。

结语

Nginx 反向代理的价值，是把"散落各端口的自托管服务"收拢进一个统一入口：按域名/路径路由到不同后端、在此终结 HTTPS、做负载均衡与静态缓存。落地要点：用"一个 server 一个站点、location 按路径反代"，记得透传 Host 与 X-Forwarded-* 头；用 certbot 让 HTTPS 自动签发与续期并纳入定时检查；多实例用 upstream 做负载均衡、静态做动静分离；把入口收敛、敏感藏进私网、配好限流与日志。当这一层做稳，你的多服务自托管就有了一个清晰、安全、可扩伸缩的"前门"。