Настройка Nginx как обратного прокси для Apache на Debian 11

Введение

Nginx и Apache — свободные и популярные веб-серверы. Apache известен своей гибкостью и мощностью модулей, а Nginx — высокой производительностью при обработке большого числа соединений и статики. Комбинация Nginx (на передней линии) и Apache (как бэкенд) даёт преимущество обоих: Nginx обрабатывает клиентские соединения, кэш и SSL, а Apache — сложную логику и модули.

Краткое описание решения:

• Apache слушает на порту 8000 и обслуживает содержимое приложения.
• Nginx слушает на порту 80 и проксирует запросы на Apache.

Требования

• Сервер с Debian 11.
• Настроен root-пароль или доступ через sudo.
• Базовые знания работы с systemctl и редактором (nano/vi).

Что мы сделаем — пошагово

1. Обновим кэш пакетов и установим зависимости.
2. Установим и настроим Apache на порту 8000.
3. Установим и настроим Nginx как обратный прокси.
4. Проверим работу и добавим базовые рекомендации по безопасности и отладке.

Обновление системы и зависимости

Перед началом обновите индекс пакетов:

apt-get update -y

Затем установите необходимые утилиты:

apt-get install gnupg2 curl -y

Установка и настройка Apache

Установите Apache:

apt-get install apache2 -y

Отредактируйте файл портов Apache:

nano /etc/apache2/ports.conf

Замените прослушиваемый порт 80 на 8000, чтобы Apache не конфликтовал с Nginx:

Listen 8000

Сохраните файл и откройте виртуальный хост по умолчанию:

nano /etc/apache2/sites-enabled/000-default.conf

Измените строку виртуального хоста на:

Сохраните изменения и перезапустите Apache:

systemctl restart apache2

Теперь в браузере по адресу http://IP_ВАШЕГО_СЕРВЕРА:8000 должна открыться страница по умолчанию Apache:

Если страницы нет — проверьте статус сервиса:

systemctl status apache2
ss -tulpn | grep 8000

Установка и настройка Nginx как обратного прокси

Установите Nginx:

apt-get install nginx -y

Откройте конфигурацию виртуального хоста по умолчанию:

nano /etc/nginx/sites-enabled/default

Удалите содержимое файла и вставьте следующий конфиг. Он перенаправляет все запросы на локальный Apache, работающий на порту 8000:

server {

listen 80;
index index.php index.html index.htm;

server_name your-server-ip;
                
location / {
proxy_pass http://localhost:8000;
proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}

Пояснения к ключевым директивам:

• proxy_pass — адрес бэкенда (Apache).
• proxy_set_header Host — передаёт исходный Host, полезно для виртуальных хостов.
• X-Real-IP и X-Forwarded-For — сохраняют IP клиента для логов и приложений.
• X-Forwarded-Proto — указывает схему (http/https).

Проверьте синтаксис конфигурации Nginx:

nginx -t

Если ошибок нет, перезапустите Nginx:

systemctl restart nginx

Проверка работы

Откройте в браузере http://IP_ВАШЕГО_СЕРВЕРА. Вы должны увидеть страницу Apache, но трафик пройдёт через Nginx:

Проверьте логи для отладки:

• Логи Nginx: /var/log/nginx/error.log и /var/log/nginx/access.log
• Логи Apache: /var/log/apache2/error.log и /var/log/apache2/access.log

Типичные проблемы и отладка

• Nginx не запускается после правки конфига — выполните nginx -t и исправьте синтаксис.
• Apache не слушает 8000 — проверьте /etc/apache2/ports.conf и systemctl status apache2.
• Заголовки X-Forwarded-* не передаются — убедитесь, что proxy_set_header не переопределён в других include.

Безопасность и производительность — рекомендации

1. Включите TLS на Nginx (Let’s Encrypt) и настройте redirect с 80 на 443. Nginx заверши́вает TLS, а Apache остаётся только внутри.
2. Настройте rate limiting и ограничения соединений в Nginx для защиты от DDoS.
3. Используйте Gzip и кеширование статических ресурсов в Nginx.
4. Отключите ненужные модули Apache и минимизируйте права файлов.
5. Разделяйте логи и используйте ротацию логов (logrotate).

Роли и чек-листы

Администратор сервера:

• Установил обновления и зависимости.
• Настроил Apache на 8000.
• Проверил, что Nginx проксирует на Apache.
• Развернул TLS на Nginx.

DevOps / разработчик:

• Убедился, что приложение работает за Apache.
• Обновил конфигурации приложений на работу за прокси.
• Протестировал передачу IP и заголовков.

Когда эта схема не подходит

• Если ваше приложение использует специфичные для Apache модули, которые зависят от прямого соединения с клиентом и редактируют TCP-пакеты — проксирование может нарушить работу.
• Если нужно пробросить вебсокеты, убедитесь, что Nginx настроен на поддержку websocket upgrade.
• Для крайне низкой латентности между фронтом и бэкендом в пределах одного хоста — возможны другие оптимизации без прокси.

Модель принятия решений (коротко)

• Нужен быстрый статический CDN и SSL — Nginx спереди.
• Требуется модульная логика, PHP/CGI и .htaccess — Apache как бэкенд.
• Высокие нагрузки и много соединений — Nginx принимает входящие соединения.

Критерии приёмки

• При обращении по http://IP_ВАШЕГО_СЕРВЕРА возвращается страница Apache.
• Nginx успешно проксирует на localhost:8000 (проверка nginx -t и systemctl status nginx).
• Заголовки X-Real-IP и X-Forwarded-For присутствуют в логах Apache.
• TLS настроен на Nginx (если применимо) и браузер показывает валидный сертификат.

Быстрый план отката

1. Вернуть старую конфигурацию /etc/nginx/sites-enabled/default из резервной копии.
2. systemctl restart nginx && systemctl status nginx.
3. Если проблема в Apache — вернуть /etc/apache2/ports.conf и 000-default.conf из бэкапа и перезапустить apache2.

Мини-методология тестирования

1. Локально curl -I http://IP_ВАШЕГО_СЕРВЕРА — проверить заголовки.
2. curl -I –header “X-Forwarded-For: 1.2.3.4” http://IP_ВАШЕГО_СЕРВЕРА — убедиться, что Apache получает ожидаемые заголовки.
3. Проверить логи доступа на предмет IP и response code.

Мини-словарь

• Обратный прокси — сервер, принимающий запросы клиента и пересылающий их на внутренний бэкенд.
• proxy_pass — директива Nginx, указывающая адрес бэкенда.
• X-Forwarded-For — заголовок, содержащий оригинальный IP клиента.

Итог

Вы настроили связку Nginx + Apache: Nginx управляет входящими соединениями и SSL, а Apache остаётся на порту 8000 и обслуживает приложение. Это типовая архитектура для балансирования нагрузки, безопасного завершения TLS и разделения обязанностей между серверами.

Важно: перед развёртыванием в проде протестируйте TLS, rate limiting, логи и ротацию. Храните резервные копии конфигураций и документируйте изменения.

Подсказка: сохраните копию исходных файлов конфигурации перед правкой:

cp /etc/nginx/sites-enabled/default /root/default.bak
cp /etc/apache2/sites-enabled/000-default.conf /root/000-default.conf.bak