VPS上のNginxプロキシマネージャー：安全なセットアップと使用ガイド

VPS上のNginx Proxy Managerは、ポート80および443を介してドメインをウェブサイト、API、ダッシュボード、その他の到達可能なサービスにルーティングするためのウェブインターフェースを提供します。 VoyraCloudアプリケーションイメージは、Cloud VPSまたはResidential IP VPS上で事前インストールされた自己管理型の出発点を提供します。管理インターフェースにプライベートに接続し、独自の管理者を作成し、ドメインをサーバーにポイントし、各プロキシホストと証明書を構成します。

TL;DR

アプリケーションを手動でインストールする代わりに、VoyraCloudのCloud VPSまたはResidential IP VPSイメージセクションでNginx Proxy Managerを選択します。
ポート81は管理インターフェースであり、プライベートのままであるべきです。リソースの詳細に示されているSSHトンネルコマンドを使用し、その後、ブラウザでローカルアドレスを開きます。
イメージにはデフォルトの管理者アカウントは含まれていません。初期設定画面を通じて最初の管理者を作成します。
ポート80および443は、パブリックなHTTPおよびHTTPSトラフィックを受け入れます。ドメインはVPSに解決される必要があり、一般的なLet's Encryptの検証が成功する前に必要なポートに到達可能でなければなりません。
各ドメインまたはサブドメインのために1つのプロキシホストを作成し、到達可能なアップストリームアドレスとポートを入力し、アップストリームアプリケーションが必要な場合にのみWebSocketサポートを有効にします。
最初のリリースはローカルSQLiteを使用します。アプリケーションの構成と証明書の素材はVPS上に保持されますが、オフサーバーのバックアップ、アップグレード、証明書の監視、DNS、およびアップストリームのセキュリティについてはあなたの責任です。
証明書の発行と更新はDNS、ネットワークの到達可能性、チャレンジの種類、レート制限、および外部サービスに依存します。これらは能力であり、保証ではありません。

Nginx Proxy Managerとは何ですか？

Nginx Proxy Managerは、Nginxベースのプロキシホスト、リダイレクト、ストリーム、アクセスリスト、およびTLS証明書を構成するためのオープンソースインターフェースです。手動で各サーバーブロックを編集することなく、Nginxのリバースプロキシ機能を利用したいときに便利です。

リバースプロキシは、インターネットユーザーとアップストリームアプリケーションの間に位置します。ブラウザはapp.example.comのようなパブリックドメインに接続し、Nginx Proxy Managerはポート80または443でリクエストを受け取り、構成されたアプリケーションのアドレスとポートに転送します。そのアップストリームは同じVPS上、Dockerネットワーク内、またはプロキシが到達可能な別のサーバーで実行されることがあります。

公式のNginx Proxy Managerガイドには、プロキシホスト、リダイレクションホスト、ストリーム、404ホスト、Let's Encryptおよびカスタム証明書、アクセスリスト、ユーザー権限、監査ログなど、プロジェクトの機能がリストされています。インターフェースは一般的なルーティング作業をより扱いやすくしますが、DNS、ネットワークの露出、アプリケーションの認証、バックアップ、および証明書のライフサイクルを理解する必要がなくなるわけではありません。

Nginx Proxy Managerは、次のような場合に実用的な選択肢です：

1つのパブリックサーバーを介して複数のサブドメインをルーティングする。
内部ウェブアプリケーションをネイティブポートを直接公開することなく公開する。
HTTPアップストリームの前でHTTPSを終了させる。
1つのインターフェースからリダイレクトと証明書を管理する。
要件をテストした後にWebSocket対応のダッシュボードやアプリケーションをプロキシする。

これは、管理されたセキュリティサービス、ウェブアプリケーションファイアウォール、DDoS保護サービス、または高可用性のロードバランシングプラットフォームではありません。アプリケーションはプロキシ構成を管理し、あなたはサーバーとその背後にあるすべてのサービスを管理します。

VoyraCloudアプリケーションイメージはどのように機能しますか？

VoyraCloudイメージは、サポートされているVoyraCloud VPS製品上で初期化可能なアプリケーションとしてNginx Proxy Managerを提供し、管理をプライベートに保ちます。手動パッケージインストールをスキップし、最初のユーザー設定から始めますが、環境は配信後も自己管理型のままです。

コンポーネントまたは責任	動作方法
アプリケーションランタイム	アプリケーションイメージによって事前インストールおよび起動される
パブリックHTTPトラフィック	`80/tcp`で受け入れられる
パブリックHTTPSトラフィック	`443/tcp`で受け入れられる
管理インターフェース	`81/tcp`で利用可能、プライベートにバインドされ、SSHトンネルを介して到達される
最初の管理者	初期設定画面で顧客によって作成される
データベース	最初のリリースのためのローカルSQLite
永続的なアプリケーションデータ	通常の再起動を通じてVPSに保存される
永続的な証明書データ	一時的なコンテナ状態とは別に保存される
ドメインとDNS	顧客によって提供され、管理される
証明書	顧客によってリクエストまたはアップロードされる; 発行は保証されない
アップストリームアプリケーション	顧客によって展開、保護、監視、維持される
更新とバックアップ	顧客によって計画され、実行される

VoyraCloudリソースの詳細に表示されるアプリケーションバージョンは、そのリソースが作成されたときに配信されたバージョンです。後で自分でNginx Proxy Managerを更新した場合、その表示された値はライブアプリケーションバージョンの検出器にはなりません。

このイメージは、サンプルプロキシホストを作成したり、ドメインを接続したり、DNSプロバイダーを事前構成したり、サードパーティAPIの資格情報を保存したりしません。このクリーンな出発点は、デモデータや共有資格情報が本番サーバーの一部になるのを防ぎます。

VoyraCloudイメージを使い始める方法

アプリケーションイメージをデプロイし、SSHトンネルを介してプライベート管理インターフェースを開き、パブリックホストを構成する前に独自の管理者を作成します。管理パスとパブリックトラフィックパスは意図的に分離されています。

VoyraCloud Nginx Proxy Managerページを開き、VPS購入フローに進みます。
サポートされているCloud VPSまたはResidential IP VPS構成を選択し、その製品で現在提供されている任意のリージョンを選択します。
イメージセクションでNginx Proxy Managerが選択されていることを確認し、その後VPSを作成します。
リソースが準備完了し、アプリケーションのヘルスチェックが完了するまで待ちます。
リソースの詳細を開き、アプリケーションセクションを見つけます。
そのリソースのために生成されたSSHトンネルコマンドをコピーします。それは、実際のSSHユーザー、SSHポート、およびVPSに割り当てられたサーバーアドレスを使用します。
ローカルターミナルでコマンドを実行し、そのSSHセッションを接続したままにします。
ローカルブラウザでhttp://127.0.0.1:8181を開きます。
管理者のメールアドレスと一意で強力なパスワードを使用して最初のユーザー画面を完了します。
ダッシュボードが開くことを確認し、プロダクションドメインを追加する前に一度サインアウトして再度サインインします。

典型的なトンネルはこの形をしています：

ssh -p <ssh-port> -L 8181:127.0.0.1:81 <ssh-user>@<server-ip>

ローカルhttp://127.0.0.1:8181アドレスは、暗号化されたSSH接続内を移動します。ポート81をパブリックにすることはありません。http://<server-ip>:81に置き換えないでください。また、管理をより便利にするためにファイアウォールやコンテナのバインディングを変更しないでください。

ローカルページが開かない場合は、まずSSHセッションを確認してください。トンネルが接続されたままであること、他のローカルプログラムがすでにポート8181を使用していないこと、VPSアプリケーションが実行されていることを確認してください。リソースの詳細はSSHユーザー名とポートの真実の源です; すべてのVPSがポート22でrootを使用するとは限りません。

なぜポート81はプライベートのままであるべきですか？

ポート81は、プロキシルート、証明書、ユーザー、およびアクセスルールの制御プレーンであるため、プライベートのままであるべきです。 管理者アクセスを取得した人は、ドメインのポイント先を変更したり、構成を検査したり、パブリックサービスを中断したりできます。

したがって、VoyraCloudは3つの異なるネットワーク役割を使用します：

ポート	目的	露出
`80/tcp`	パブリックHTTPプロキシトラフィックおよび一般的なHTTP-01検証	必要に応じてパブリック
`443/tcp`	パブリックHTTPSプロキシトラフィック	パブリック
`81/tcp`	Nginx Proxy Manager管理	SSHトンネルを介してプライベート

SSHトンネルは、初期設定と定期的な管理の両方に適しています。これは、別の管理エンドポイントを公開することを避けるからです。後でチームが保護された管理ドメインを作成する場合、それはユーザー管理の設計上の決定です。それは信頼できるHTTPS、強力なアプリケーション認証、実用的な範囲での制限されたアクセス、および文書化された回復パスを使用するべきです。

ポート81をプライベートに保つことは、アップストリームアプリケーションを自動的に保護するわけではありません。すべてのプロキシされたダッシュボード、API、またはウェブサイトは、適切な認証、認可、更新、およびアプリケーションレベルのセキュリティを必要とします。アクセスリストと基本的なHTTP認証は、一部のユースケースに対してレイヤーを追加できますが、アップストリームサービス内の正しいセキュリティの代替にはなりません。

ドメインを追加する前に何が準備されているべきですか？

プロダクションプロキシホストが信頼性を持って機能するためには、ドメイン、正しいDNSレコード、到達可能なパブリックポート、および動作するアップストリームが準備されている必要があります。 Nginx Proxy Managerは、ドメインを作成したり、外部プロバイダーでDNSレコードを修復したりすることはできません。

次のものを準備してください：

あなたが管理するドメインまたはサブドメイン。
VPSのIPv4アドレスを指すAレコード、IPv6が意図的に構成されていて到達可能な場合はAAAAレコード。
プロバイダーおよびレコードTTLに従ったDNS変更が伝播するための時間。
HTTP-01チャレンジを使用する場合のポート80でのパブリック到達可能性。
最終的なHTTPSサービスのためのポート443でのパブリック到達可能性。
あなたが入力する予定のアドレス、ポート、およびプロトコルで応答するアップストリームアプリケーション。
プロキシとアップストリーム間のトラフィックがHTTPまたはHTTPSのどちらを使用するかについての決定。

証明書をリクエストする前に、VPSの外部からパブリックDNSを確認してください。ドメインがまだ古いアドレスに解決される場合、証明書機関は間違ったサーバーに到達します。CDNや他のプロキシサービスを前面に使用している場合、Nginx Proxy Managerのトラブルシューティングを行う前に、そのプロキシモードが検証とトラフィックにどのように影響するかを理解してください。

Let's Encryptは複数のチャレンジタイプをサポートしています。HTTP-01は一般的に、要求されたホスト名のために証明書機関がポート80に到達することを必要とします。DNS-01は正しいDNS TXTレコードを必要とし、しばしばプロバイダー固有の資格情報やプラグインを通じて行われます。このイメージにはDNSプロバイダーアカウント、APIトークン、またはすべてのプロバイダー統合が機能する保証は含まれていません。

プロキシホストを作成するにはどうすればよいですか？

プロキシホストを作成するには、1つまたは複数のドメイン名を到達可能なアップストリームスキーム、ホスト名またはIPアドレス、およびポートにマッピングします。 DNS、ルーティング、ログ、およびHTTPSを確認できるように、1つのテストサービスから始めてください。

SSHトンネルを介して管理インターフェースに接続します。
ホストを開き、次にプロキシホストを開き、プロキシホストを追加を選択します。
すでにVPSに解決されているドメインまたはサブドメインを入力します。
通常はhttpまたはhttpsのアップストリームスキームを選択します。
アップストリームのホスト名またはIPアドレスを入力します。
アップストリームサービスのポートを入力します。
アプリケーションがWebSocket接続を使用する場合にのみWebSocketサポートを有効にします。
基本的なルーティングの問題を隔離する必要がある場合は、最初に証明書なしでホストを保存します。
パブリックHTTPルートをテストし、アップストリームアプリケーションの動作を確認します。
証明書を追加またはリクエストし、希望するHTTPSオプションを有効にし、再度テストします。

Nginx Proxy Managerコンテナが実際に到達できるアップストリームアドレスを使用してください。コンテナ内の127.0.0.1は、そのコンテナを指し、別のサービスやVPSホストを自動的に指すわけではありません。Dockerで実行されているサービスの場合、共有プライベートDockerネットワークにより、Nginx Proxy Managerがコンテナ名やサービス名でサービスに到達できるようになり、アップストリームポートをすべてのホストインターフェースに公開する必要がなくなります。プロジェクトの高度な構成ガイドは、このプライベートネットワークパターンを文書化しています。

別のサーバー上のアプリケーションの場合、アップストリームサービスを制限して、アプリケーションとネットワーク設計が許可する場合にのみ信頼できるソースが到達できるようにします。リンク内でパブリックポートを隠すことがプライベートにすることを意味するとは限りません。

WebSocketアプリケーションはどのように機能しますか？

WebSocketアプリケーションは、プロキシホストでWebSocketサポートが有効になっており、アップストリームアプリケーションがパブリックURLに対して正しく構成されている場合に、Nginx Proxy Managerを介して機能します。初期のHTTPアップグレードと長寿命の接続は、完全なルートを生き残る必要があります。

WebSocketの失敗は、ダッシュボードが読み込まれるが更新されない、再接続メッセージが繰り返される、またはブラウザコンソールエラーとして現れることがよくあります。次を確認してください：

プロキシホストのWebSocketサポートオプション。
アップストリームプロトコル、アドレス、およびポート。
アプリケーションの構成されたパブリックオリジンまたはベースURL。
アプリケーション固有の信頼されたプロキシ設定。
失敗したアップグレードリクエストのためのブラウザ開発者ツール。
Nginx Proxy Managerおよびアップストリームのログ。
CDN、ファイアウォール、または中間のタイムアウト。

1つのチェックボックスを有効にするだけでは、すべてのアプリケーションとの互換性を保証することはできません。一部のサービスは、追加のヘッダー、より大きなアップロード制限、より長いタイムアウト、パスの書き換え、または独自のリバースプロキシ構成を必要とします。カスタムNginxディレクティブは、その範囲を理解し、ロールバックプランがある場合にのみ適用してください。

TLS証明書と更新はどのように機能しますか？

Nginx Proxy ManagerはLet's Encrypt証明書をリクエストしたり、提供された証明書を使用したりできますが、成功した発行と更新はアプリケーションイメージの外部の条件に依存します。 DNS、チャレンジの到達可能性、証明書機関のレート制限、プロバイダーAPI、時計の精度、およびアカウント設定はすべて結果に影響を与える可能性があります。

一般的なHTTP-01設定の場合：

ドメインがVPSにパブリックに解決されることを確認します。
ポート80がNginx Proxy Managerに到達することを確認します。
プロキシホストのSSL設定を開きます。
新しいLet's Encrypt証明書をリクエストします。
適用される条件を受け入れ、必要な連絡先情報を提供します。
構成を保存し、リクエストが完了するのを待ちます。
HTTPSドメインを開き、ブラウザで証明書を検査します。
リダイレクトを有効にした場合は、HTTPからHTTPSへの動作を確認します。

DNS-01の場合は、レビューおよびテストしたプロバイダーおよび資格情報フローのみを使用してください。DNSプロバイダーがサポートしている場合はAPIトークンの権限を制限し、資格情報を慎重に保管し、公開された場合はローテーションします。VoyraCloudはこれらの資格情報を提供または管理しません。

更新は仮定するのではなく監視するべきです。証明書の有効期限を記録し、アプリケーションログを確認し、証明書が有効期限に近づく前に更新動作をテストします。一度発行された証明書は、DNSが変更されたり、ポート80がブロックされたり、資格情報が期限切れになったり、プロバイダーがAPIを変更したり、サーバーが停止したりすると、後で更新に失敗する可能性があります。

カスタム証明書もライフサイクルの所有権が必要です。あなたはそれらの有効期限、交換、秘密鍵の保護、および回復を追跡する必要があります。秘密鍵をチケット、スクリーンショット、または公開文書に貼り付けないでください。

どのデータが永続化され、何をバックアップすべきですか？

このイメージは、SQLiteデータベース、Nginx Proxy Managerの構成、ユーザー、プロキシ定義、および証明書データを通常のVPS再起動を通じて保持しますが、永続性はバックアップではありません。削除されたVPS、破損したファイルシステム、偶発的な構成変更、アップグレードの失敗、または管理者アカウントの侵害は、ローカルデータを破壊または無効にする可能性があります。

公式のセットアップ手順は、アプリケーションデータとLet's Encrypt証明書ストレージを分けています。VoyraCloudイメージは、最初のリリースのためにローカルSQLiteを使用しながら、同じ永続性の原則に従います。

あなたのバックアッププランは次のものを保護するべきです：

SQLiteデータベースと設定を含むアプリケーションデータ。
プロキシホスト、リダイレクトホスト、ストリーム、アクセスリスト、ユーザー、および監査記録。
Let's Encryptアカウントおよび証明書の素材。
アップロードされたカスタム証明書および秘密鍵。
ユーザーが作成したカスタムNginx構成。
DNS、アップストリームアドレス、ファイアウォールルール、および外部依存関係の記録。

回復コピーをVPSの外に保管し、機密資料として保護してください。証明書の秘密鍵と管理データは、移動中および静止中に暗号化されるべきです。保持、アクセス、および削除のルールを定義し、その後、プロセスに依存する前に別のテスト環境に復元する練習をしてください。

永続データが intactな状態で通常のコンテナ再作成が構成を消去することはありませんが、永続ストレージを削除または置き換えることは異なります。実行する前に、更新またはメンテナンスコマンドが何を変更するかを確認してください。

デプロイメントを維持するにはどうすればよいですか？

デプロイメントを維持するには、パブリックルート、証明書の有効期限、コンテナの健康、リソース使用量、ログ、バックアップ、およびアップストリームアプリケーションを別々の責任として監視します。機能するプロキシは、不健康なアップストリームを信頼できるものにはできません。

この運用チェックリストを使用してください：

VPSの外部からパブリックHTTPおよびHTTPSエンドポイントを監視します。
証明書の有効期限を監視し、更新エラーを迅速に調査します。
4xx、5xx、タイムアウト、およびアップストリーム接続エラーをレビューします。
CPU、メモリ、ディスクスペース、およびログの増加を追跡します。
VPSのオペレーティングシステム、Dockerランタイム、Nginx Proxy Manager、およびアップストリームアプリケーションをサポートされているバージョンに保ちます。
アップグレードの前に永続的なアプリケーションおよび証明書データをバックアップします。
プロジェクトのリリースノートとアップグレードガイダンスを読みます。
変更後に重要なルート、WebSocket接続、リダイレクト、および証明書をテストします。
文書化されたロールバックまたは復元手順を保持します。
SSHおよび管理者アクセスを制限し、もはや制御が必要でないユーザーを削除します。

より広範なサーバーメンテナンスの基準については、VoyraCloud VPS管理ガイドを参照してください。VPSはサーバーの基盤を提供しますが、管理されたアプリケーション操作、自動バックアップ、または保証された証明書更新は含まれていません。

一般的な問題と最も迅速なチェック

ほとんどのNginx Proxy Managerの失敗は、DNS、パブリックポート、プロキシ構成、アップストリームの到達可能性、およびログをその順序で確認することで絞り込むことができます。

症状	最初のチェック
ローカル管理ページが開かない	SSHトンネルが接続されている、ローカルポート8181が空いている、アプリケーションが実行されている
ドメインが間違ったサーバーに到達する	パブリック`A`/`AAAA`レコードおよびDNS伝播
502 Bad Gateway	アップストリームスキーム、アドレス、ポート、サービスステータス、およびDockerネットワーク
504 Gateway Timeout	アップストリーム応答時間、ファイアウォール、ネットワークルート、およびタイムアウト要件
証明書リクエストが失敗する	DNSターゲット、ポート80、チャレンジタイプ、プロバイダー資格情報、レート制限、およびログ
HTTPSは機能するがアプリが不正にリダイレクトされる	パブリックベースURL、フォワードプロキシ設定、およびアップストリームアプリケーション構成
ダッシュボードが読み込まれるがライブ更新が失敗する	WebSocketサポート、オリジンルール、中間タイムアウト、およびブラウザコンソール
メンテナンス後に構成が消える	永続データが置き換えられた、切り離された、削除された、または回復に含まれていない

基盤となるDNSまたはネットワークの問題が残っている間、証明書を繰り返しリクエストすることは避けてください。繰り返しの試行はトラブルシューティングを遅くし、証明書機関のレート制限に遭遇する可能性があります。失敗した前提条件を修正し、エラーログを読み、その後意図的に再試行してください。

FAQ

Nginx Proxy Managerの管理インターフェースにパブリックインターネットからアクセスできますか？

VoyraCloudイメージは管理インターフェースをプライベートに保ち、SSHトンネルを介してアクセスすることを期待しています。 ポート81はプロキシルート、ユーザー、および証明書を制御しているため、便利さのためだけに公開されるべきではありません。リソースの詳細にあるトンネルコマンドを使用し、SSHセッションが接続されたままローカルアドレスを開いてください。

イメージにはデフォルトの管理者パスワードが含まれていますか？

いいえ、イメージは共有のデフォルト管理者アカウントやパスワードを提供しません。 初期設定画面を通じて独自の最初の管理者を作成してください。ユニークなパスワードを使用し、回復に関連するメールアカウントを保護し、サポートチケットやスクリーンショットに資格情報を置かないでください。

Nginx Proxy Managerは自動的にDNSを構成しますか？

いいえ、あなたはドメインプロバイダーでDNSを構成する必要があります。 必要なレコードをVPSにポイントし、証明書を追加する前にパブリック解決を確認してください。DNSチャレンジ統合はプロバイダー固有の資格情報を使用する場合がありますが、イメージにはプロバイダーアカウント、トークン、または互換性の保証は含まれていません。

Let's Encrypt証明書の発行と更新は保証されていますか？

いいえ、証明書の発行と更新は保証されません。 成功は正しいDNS、到達可能な検証ポートまたはDNSチャレンジレコード、証明書機関のポリシーとレート制限、有効なプロバイダー資格情報（該当する場合）、および正常に稼働しているサーバーに依存します。有効期限と更新結果を監視してください。

Nginx Proxy ManagerはWebSocketアプリケーションをプロキシできますか？

はい、WebSocketサポートが有効で、アップストリームアプリケーションが正しく構成されている場合、WebSocketトラフィックをプロキシできます。 パブリックオリジン、接続アップグレード、タイムアウト、ヘッダー、およびアプリケーション固有の信頼されたプロキシ設定をテストする必要があります。

イメージにはWAFまたはDDoS保護が含まれていますか？

いいえ、イメージには管理されたWAF、DDoS保護サービス、またはアップストリームアプリケーションが安全であることの保証は含まれていません。 Nginx Proxy Managerはルーティングおよび証明書管理機能を提供します。アプリケーションの認証、パッチ適用、アクセス制御、ネットワーク保護、およびインシデント対応は別々の責任として残ります。

ローカルSQLiteデータベースは自動的にバックアップされますか？

いいえ、ローカルの永続性はオフサーバーバックアップを作成しません。 SQLiteデータベースと証明書データは通常の再起動を通じて生き残るはずですが、あなた自身の回復コピーをVPSの外で作成、保護、保持、テストする必要があります。

1つのVPSを複数のドメインに使用できますか？

はい、1つのデプロイメントは、サーバーに十分な容量があり、各アップストリームが正しく構成されている場合に、複数のドメインまたはサブドメインをルーティングできます。容量はトラフィック、TLSアクティビティ、応答サイズ、ログ、アップストリームの動作、およびVPSを共有する他のワークロードに依存します。高可用性とゼロダウンタイムの運用は含まれていません。

結論

VPS上のNginx Proxy Managerは、自己管理型のリバースプロキシをウェブインターフェースで使用したい場合に適しています。また、DNS、アップストリームアプリケーション、証明書、更新、監視、およびバックアップを所有する準備ができている必要があります。 VoyraCloudアプリケーションイメージは、SSHトンネルを介してプライベートな管理パスを保持しながら、手動インストールステップを削除します。

1つのドメインと1つの既知の良好なアップストリームから始めてください。ポート81をプライベートに保ち、証明書をリクエストする前にDNSを確認し、必要に応じてWebSocketの動作をテストし、SQLiteアプリケーションデータと証明書素材の両方をオフサーバーの回復プランで保護してください。この計画的なアプローチは、基本的なパスが確認される前に多くのホストを追加するよりも信頼性があります。

イメージワークフローについては、VoyraCloud Nginx Proxy Managerアプリケーションページを確認し、予想されるトラフィック、TLSアクティビティ、ログ、アップストリームアプリケーション、およびサーバーを共有する他のサービスに基づいて、サポートされているVoyraCloud Cloud VPSまたはResidential IP VPS構成を選択してください。