反向代理的终极形态：用 Docker 优雅落地 Nginx Proxy Manager，这才是内网穿透与多站点管理的正确姿势

为什么要自己搭建一个 NPM 平台？

💡 推荐阅读：云服务器公网IP和私网IP傻傻分不清？端口配置踩坑实录，手把手教你一次搞定

在笔者的服务器运维生涯中，最痛恨的事情莫过于在 Nginx 配置文件里反复修改 server_name 和 location 块。每次新增一个 Web 服务，都要经历“编辑配置 -> 测试语法 -> 平滑重载”的循环，一旦手滑写错一个分号，整个站点直接 502。

直到遇上 Nginx Proxy Manager（简称 NPM），这种痛点才彻底终结。它本质上是 Nginx 的一个可视化封装层，提供了开箱即用的 Web 管理面板。通过 Docker 一键部署后，你可以在浏览器里用鼠标完成域名绑定、SSL 证书申请、HTTP/2 开启、访问控制等操作，无需再接触底层的 conf 文件。

这篇文章，笔者将从架构师视角出发，带你避开那些“能跑但不好用”的坑，手把手搭建一套生产级可用的 NPM 代理平台。

核心原理：NPM 到底在代理什么？

💡 延伸阅读：别再租第三方网盘了！手把手教你用 Docker 自建一套高可用私有云盘，彻底掌控数据主权

从网络拓扑来看，NPM 扮演的是流量枢纽的角色。它监听宿主机的 80 和 443 端口，接收来自公网的请求，然后根据 Host 头或 IP 规则，将流量转发到 Docker 内网或局域网内的其他容器上。

它的底层逻辑是：

• 反向代理：隐藏后端真实 IP，提供负载均衡能力。
• SSL 终止：在 NPM 层统一处理 HTTPS 证书，后端服务只需跑 HTTP。
• 流式转发：支持 WebSocket 和 TCP/UDP 端口转发，适合游戏服务器或 SSH 隧道。

理解了这三层，你就明白了为什么 NPM 是家庭服务器、VPS 或多站点托管场景下的瑞士军刀。

生产环境架构规范：目录挂载与网络模式

💡 深度技术指南：Nginx 频繁 502 Bad Gateway？别急着重启，这份排查与修复实战指南请收好

很多新手在安装 NPM 时，喜欢用 --network host 模式，这虽然简单，但在 Docker 集群环境下极易引发端口冲突。笔者的建议是使用 bridge 网络，并显式映射端口。

以下是经过反复验证的 docker-compose.yml 标准配置，请直接复制使用：

version: '3.8'

services:
  npm:
    image: 'jc21/nginx-proxy-manager:latest'
    restart: unless-stopped
    ports:
      - '80:80'          # HTTP 入口
      - '443:443'        # HTTPS 入口
      - '81:81'          # NPM 管理面板端口
    environment:
      DB_MYSQL_HOST: 'db'
      DB_MYSQL_PORT: 3306
      DB_MYSQL_USER: 'npm'
      DB_MYSQL_PASSWORD: 'change_this_strong_password'
      DB_MYSQL_NAME: 'npm'
      DISABLE_IPV6: 'true'
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt
    depends_on:
      - db

  db:
    image: 'mariadb:10.6'
    restart: unless-stopped
    environment:
      MYSQL_ROOT_PASSWORD: 'root_strong_password'
      MYSQL_DATABASE: 'npm'
      MYSQL_USER: 'npm'
      MYSQL_PASSWORD: 'change_this_strong_password'
    volumes:
      - ./mysql:/var/lib/mysql

关键参数解读：

• DB_MYSQL_HOST：必须指向 compose 文件中的服务名 db，而不是 localhost。
• DISABLE_IPV6：如果你的 VPS 不支持 IPv6，建议设为 true，避免 DNS 解析超时。
• volumes：务必使用相对路径挂载，方便后续备份 data 和 letsencrypt 目录。

执行 docker compose up -d 后，浏览器访问 http://服务器IP:81，默认登录账号为 admin@example.com，密码为 changeme。首次登录后，系统会强制要求修改密码，请务必设置一个高强度密码。

性能与安全加固调优清单

NPM 默认配置已经不错，但距离“生产级”还有差距。以下是笔者整理的调优清单，按优先级排序：

1. 强制 HTTPS 与 HSTS 配置

在 NPM 面板的 SSL 证书 选项卡中，选择 Let’s Encrypt 并填入你的域名。务必勾选 Force SSL 和 HTTP/2 选项。同时，在 Advanced 配置中添加如下代码，开启 HSTS：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

这一行代码能有效防止 SSL 剥离攻击，让你的站点在浏览器中强制走 HTTPS 协议。

2. 限制管理面板的访问来源

管理面板（81 端口）不应该暴露在公网。笔者的做法是，在防火墙层面仅允许指定 IP 访问 81 端口。例如使用 UFW：

sudo ufw allow from 你的家庭IP to any port 81 proto tcp

如果你在外办公，建议配合 WireGuard 或 Tailscale 组网后，仅在内网访问管理面板。

3. 日志切割与自动清理

NPM 默认会记录所有访问日志，时间久了会占满磁盘。在宿主机上配置 logrotate 规则，或直接在 compose 文件中添加日志限制：

logging:
  driver: "json-file"
  options:
    max-size: "10m"
    max-file: "3"

这能保证每个容器的日志文件不超过 10MB，且只保留最近 3 个文件。

4. 启用 Cloudflare CDN 与真实 IP 透传

如果你使用了 Cloudflare 代理，NPM 默认记录的客户端 IP 都是 Cloudflare 的节点 IP。此时需要在 NPM 的 Advanced 配置中加入：

set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
real_ip_header CF-Connecting-IP;

这样后端应用才能拿到真实的访客 IP，对于 WordPress 的评论审核或网站统计至关重要。

验证测试与 SOP 总结

搭建完成后，不要急着上线。请按照以下 SOP 进行回归测试：

测试项目	操作	预期结果
HTTP 重定向	访问 http://yourdomain.com	301 跳转到 https://
SSL 证书有效性	使用 SSL Labs 检测	评级达到 A 或 A+
WebSocket 转发	连接在线终端工具	实时数据无断连
管理面板隔离	从外部 IP 访问 :81	连接超时或拒绝

最后，笔者想提醒各位站长：NPM 仅仅是流量入口，真正的数据安全取决于后端服务的健壮性。建议搭配 Fail2ban 进行暴力破解防护，并定期执行 docker compose pull 更新镜像。

如果你还没有一台性能稳定的云服务器，笔者建议在选购时重点关注带宽大小与流量配额，毕竟反向代理的吞吐量直接受限于这两项指标。选择正规服务商，并为其配置好快照备份，你的 NPM 平台才能真正做到高枕无忧。

至此，你的个人专属代理平台已优雅落地。剩下的时间，去享受浏览器里管理所有域名的快感吧。

相关技术专题与延伸阅读

• 云服务器公网IP和私网IP傻傻分不清？端口配置踩坑实录，手把手教你一次搞定
• 别再租第三方网盘了！手把手教你用 Docker 自建一套高可用私有云盘，彻底掌控数据主权
• Nginx 频繁 502 Bad Gateway？别急着重启，这份排查与修复实战指南请收好
• 云服务器到期不用慌：一套无缝迁移方案，把网站搬家成本降到最低