反向代理 on 吾爱主机

Caddy：现代化Web服务器入门与实战

Fri, 26 Jun 2026 15:30:00 +0000

Caddy 简介

Caddy 是一个用 Go 语言编写的现代化 Web 服务器，以其自动 HTTPS 功能闻名。相比 Nginx，Caddy 的配置更简洁，功能更现代，特别适合云原生环境。

Caddy 的核心优势：

自动 HTTPS：自动获取和续期 Let’s Encrypt 证书
配置简洁：Caddyfile 语法直观易读
零依赖：单个二进制文件，无外部依赖
API 驱动：支持通过 REST API 动态配置
跨平台：支持 Linux、macOS、Windows

安装 Caddy

Linux（推荐）

# Debian/Ubuntu
sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy

macOS

brew install caddy

Docker

docker run -d -p 80:80 -p 443:443 \
 -v /data/caddy:/data \
 -v /config/caddy:/config \
 caddy:latest

Caddyfile 配置语法

Caddy 使用 Caddyfile 作为配置文件，语法简洁直观。

基本结构

# 全局配置
{
 email admin@example.com
 acme_ca https://acme-staging-v02.api.letsencrypt.org/directory
}

# 站点配置
example.com {
 # 配置指令
}

实战配置示例

1. 静态网站

example.com {
 root * /var/www/html
 file_server
}

2. 反向代理

api.example.com {
 reverse_proxy localhost:8080
}

# 带负载均衡
app.example.com {
 reverse_proxy backend1:8080 backend2:8080 backend3:8080
}

3. 自动 HTTPS

# Caddy 自动获取并续期 SSL 证书
secure.example.com {
 reverse_proxy localhost:3000
}

4. PHP 支持（WordPress 等）

blog.example.com {
 root * /var/www/wordpress
 php_fastcgi localhost:9000
 file_server
}

5. WebSocket 代理

ws.example.com {
 reverse_proxy localhost:8080 {
 header_up Upgrade {>Upgrade}
 header_up Connection {>Connection}
 }
}

6. 限流配置

⚠️ 注意：rate_limit 不是 Caddy 标准内置指令，需要第三方插件 caddy-ratelimit（官方标注为 experimental）。使用前需用 xcaddy 编译进自定义二进制：xcaddy build --with github.com/mholt/caddy-ratelimit，否则会报 unrecognized directive: rate_limit。

api.example.com {
 rate_limit {
 zone api_zone {
 key {remote_host}
 events 10
 window 1s
 }
 }
 
 reverse_proxy localhost:8080
}

7. 访问控制

admin.example.com {
 # 基本认证（Caddy 2.7+ 指令名为 basic_auth，旧名 basicauth 已废弃）
 basic_auth * {
 admin $2a$14$Zkx19XLiW6VYouLRR8Kj.OXQBKlejFyYi6CZjfCMjh8YBPL5YE5LG
 }
 
 reverse_proxy localhost:8080
}

Caddy vs Nginx 对比

特性	Caddy	Nginx
自动 HTTPS	✅ 内置	❌ 需要 certbot
配置语法	Caddyfile（简洁）	nginx.conf（传统）
配置热更新	✅ API 驱动	⚠️ reload
学习曲线	低	中等
性能	优秀	极致
生态系统	成长中	成熟
适用场景	中小型项目、云原生	大型项目、高性能场景

Caddy API 配置

Caddy 支持通过 REST API 动态管理配置：

# 获取当前配置
curl localhost:2019/config/

# 通过 API 添加站点
curl -X POST localhost:2019/config/apps/http/servers/srv0/routes \
 -H "Content-Type: application/json" \
 -d '{
 "@id": "example",
 "match": [{"host": ["example.com"]}],
 "handle": [{"handler": "reverse_proxy", "upstreams": [{"dial": "localhost:8080"}]}]
 }'

# 删除站点配置
curl -X DELETE localhost:2019/id/example

生产环境最佳实践

1. 性能优化

{
 # 启用 HTTP/3
 servers {
 protocols h1 h2 h3
 }
}

example.com {
 # 启用压缩
 encode gzip zstd
 
 # 缓存静态资源
 @static {
 path *.jpg *.jpeg *.png *.gif *.css *.js
 }
 header @static Cache-Control "public, max-age=31536000"
 
 file_server
}

2. 安全配置

example.com {
 # 安全头
 header {
 X-Frame-Options "SAMEORIGIN"
 X-Content-Type-Options "nosniff"
 X-XSS-Protection "1; mode=block"
 Referrer-Policy "strict-origin-when-cross-origin"
 -Server
 }
 
 # 隐藏 Caddy 标识
 header -Server
 
 reverse_proxy localhost:8080
}

3. 日志配置

{
 log {
 output file /var/log/caddy/access.log {
 roll_size 100mb
 roll_keep 10
 roll_keep_for 720h
 }
 format json
 }
}

example.com {
 log {
 output file /var/log/caddy/example.log
 }
 
 reverse_proxy localhost:8080
}

Caddy systemd 管理

# 启动
sudo systemctl start caddy

# 停止
sudo systemctl stop caddy

# 重启
sudo systemctl restart caddy

# 查看状态
sudo systemctl status caddy

# 开机自启
sudo systemctl enable caddy

# 查看日志
journalctl -u caddy --no-pager -n 50

常见问题

1. 证书申请失败

# 检查 DNS 解析
dig example.com

# 使用 staging 环境测试
{
 acme_ca https://acme-staging-v02.api.letsencrypt.org/directory
}

2. 配置文件位置

# 查找配置文件
caddy environ | grep XDG

# 默认位置
# Linux: /etc/caddy/Caddyfile
# macOS: ~/Library/Application Support/Caddy/Caddyfile

3. 性能不如预期

{
 # 调整服务器参数
 servers {
 max_header_size 16384
 read_timeout 30s
 write_timeout 30s
 idle_timeout 120s
 }
}

总结

Caddy 是一个现代化的 Web 服务器，特别适合：

需要自动 HTTPS 的项目：零配置获取 SSL 证书
中小型项目：配置简洁，上手快
云原生环境：API 驱动，易于自动化
快速原型开发：无需复杂配置

对于大型项目和极致性能要求，Nginx 仍然是更好的选择。但对于大多数场景，Caddy 提供了更现代、更简洁的解决方案。

Nginx从入门到精通：完整教程

Fri, 26 Jun 2026 15:00:00 +0000

Nginx 简介

Nginx（发音为 “engine-x”）是一个高性能的 HTTP 和反向代理 Web 服务器，由俄罗斯的伊戈尔·赛索耶夫开发，第一个版本发布于 2004 年。截至目前，Nginx 已成为全球最流行的 Web 服务器之一，市场份额超过 34%。

Nginx 的核心特点：

高并发：支持约 50000 个并发连接
低内存占用：相比 Apache 等传统服务器，内存消耗极低
配置简洁：学习曲线平缓，配置直观
高稳定性：运行数月无需重启
模块化设计：功能可按需扩展

安装 Nginx

Ubuntu/Debian

sudo apt update
sudo apt install nginx

CentOS/RHEL

sudo yum install epel-release
sudo yum install nginx

macOS（Homebrew）

brew install nginx

从源码编译

# 下载最新稳定版
wget http://nginx.org/download/nginx-1.26.2.tar.gz
tar -zxvf nginx-1.26.2.tar.gz
cd nginx-1.26.2

# 配置编译选项
./configure --prefix=/usr/local/nginx \
 --with-http_ssl_module \
 --with-http_v2_module \
 --with-http_realip_module \
 --with-http_gzip_static_module

# 编译安装
make && sudo make install

常用命令

# 启动
nginx

# 停止
nginx -s stop

# 安全退出
nginx -s quit

# 重新加载配置（不中断服务）
nginx -s reload

# 检查配置文件语法
nginx -t

# 查看版本
nginx -v

# 查看编译参数
nginx -V

# 查看进程
ps aux | grep nginx

配置文件结构

Nginx 配置文件通常位于 /etc/nginx/nginx.conf，结构如下：

# 全局配置
worker_processes auto; # 工作进程数，建议设为CPU核心数
error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;

events {
 worker_connections 4096; # 每个进程的最大连接数
 multi_accept on; # 允许同时接受多个连接
 use epoll; # 使用 epoll 事件模型（Linux）
}

http {
 include mime.types;
 default_type application/octet-stream;
 
 # 日志格式
 log_format main '$remote_addr - $remote_user [$time_local] "$request" '
 '$status $body_bytes_sent "$http_referer" '
 '"$http_user_agent"';
 
 access_log /var/log/nginx/access.log main;
 
 # 性能优化
 sendfile on;
 tcp_nopush on;
 tcp_nodelay on;
 keepalive_timeout 65;
 
 # Gzip 压缩
 gzip on;
 gzip_types text/plain text/css application/json application/javascript;
 
 # 虚拟主机配置
 include /etc/nginx/conf.d/*.conf;
}

实战配置示例

1. 静态网站托管

server {
 listen 80;
 server_name example.com www.example.com;
 
 root /var/www/example.com;
 index index.html index.htm;
 
 location / {
 try_files $uri $uri/ =404;
 }
 
 # 静态资源缓存
 location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
 expires 30d;
 add_header Cache-Control "public, immutable";
 }
}

2. 反向代理

server {
 listen 80;
 server_name api.example.com;
 
 location / {
 proxy_pass http://127.0.0.1:8080;
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 
 # 超时设置
 proxy_connect_timeout 60s;
 proxy_send_timeout 60s;
 proxy_read_timeout 60s;
 }
}

3. 负载均衡

# 定义上游服务器组
upstream backend {
 # 轮询（默认）
 server backend1.example.com;
 server backend2.example.com;
 
 # 加权轮询
 # server backend1.example.com weight=3;
 # server backend2.example.com weight=1;
 
 # IP Hash（会话保持）
 # ip_hash;
 
 # 最少连接
 # least_conn;
}

server {
 listen 80;
 server_name example.com;
 
 location / {
 proxy_pass http://backend;
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 }
}

4. HTTPS/SSL 配置

server {
 listen 443 ssl;
 http2 on;
 server_name secure.example.com;
 
 # SSL 证书
 ssl_certificate /etc/nginx/ssl/example.crt;
 ssl_certificate_key /etc/nginx/ssl/example.key;
 
 # SSL 优化
 ssl_protocols TLSv1.2 TLSv1.3;
 ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
 ssl_prefer_server_ciphers on;
 ssl_session_cache shared:SSL:10m;
 ssl_session_timeout 10m;
 
 location / {
 proxy_pass http://localhost:3000;
 }
}

# HTTP 自动跳转 HTTPS
server {
 listen 80;
 server_name secure.example.com;
 return 301 https://$host$request_uri;
}

5. 限流配置

http {
 # 定义限流区域
 limit_req_zone $binary_remote_addr zone=api_limit:10m rate=10r/s;
 limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
 
 server {
 listen 80;
 server_name api.example.com;
 
 location /api/ {
 # 每秒最多10个请求，允许突发20个
 limit_req zone=api_limit burst=20 nodelay;
 
 # 每个IP最多5个并发连接
 limit_conn conn_limit 5;
 
 proxy_pass http://backend;
 }
 }
}

6. WebSocket 代理

server {
 listen 80;
 server_name ws.example.com;
 
 location /ws/ {
 proxy_pass http://localhost:8080;
 proxy_http_version 1.1;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 proxy_set_header Host $host;
 proxy_read_timeout 3600s;
 }
}

性能调优

系统级优化

# /etc/sysctl.conf
net.core.somaxconn = 65535
net.ipv4.tcp_max_tw_buckets = 65535
net.ipv4.ip_local_port_range = 1024 65535
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_keepalive_time = 1200
net.core.netdev_max_backlog = 65535
net.ipv4.tcp_max_syn_backlog = 65535

# 使配置生效
sudo sysctl -p

Nginx 级优化

worker_processes auto;
worker_rlimit_nofile 65535;

events {
 worker_connections 65535;
 multi_accept on;
 use epoll;
}

http {
 # 开启 sendfile
 sendfile on;
 tcp_nopush on;
 tcp_nodelay on;
 
 # 连接超时优化
 keepalive_timeout 65;
 keepalive_requests 1000;
 
 # 缓冲区优化
 client_body_buffer_size 16k;
 client_header_buffer_size 1k;
 client_max_body_size 8m;
 large_client_header_buffers 4 8k;
 
 # 开启文件缓存
 open_file_cache max=10000 inactive=20s;
 open_file_cache_valid 30s;
 open_file_cache_min_uses 2;
 open_file_cache_errors on;
}

安全配置

server {
 # 隐藏版本号
 server_tokens off;
 
 # 安全响应头
 add_header X-Frame-Options "SAMEORIGIN" always;
 add_header X-Content-Type-Options "nosniff" always;
 add_header X-XSS-Protection "1; mode=block" always;
 add_header Referrer-Policy "strict-origin-when-cross-origin" always;
 add_header Content-Security-Policy "default-src 'self'" always;
 
 # 禁止访问隐藏文件
 location ~ /\. {
 deny all;
 access_log off;
 log_not_found off;
 }
 
 # 禁止访问特定文件
 location ~* \.(bak|sql|conf)$ {
 deny all;
 }
}

常见问题排查

1. 502 Bad Gateway

# 检查上游服务是否运行
curl http://localhost:8080

# 检查 Nginx 错误日志
tail -f /var/log/nginx/error.log

# 常见原因：
# - 上游服务未启动
# - 连接超时
# - 缓冲区溢出

2. 413 Request Entity Too Large

# 增大请求体大小限制
client_max_body_size 100m;

3. 配置不生效

# 检查配置语法
nginx -t

# 重新加载配置
nginx -s reload

# 确认配置文件路径
nginx -V 2>&1 | grep conf

总结

Nginx 是现代 Web 架构中不可或缺的组件，掌握它的配置和调优对于运维和开发人员都至关重要。核心要点：

理解配置结构：main → events → http → server → location
掌握核心功能：静态服务、反向代理、负载均衡、HTTPS
注重安全配置：隐藏版本号、安全头、访问控制
持续性能调优：系统参数、Nginx 参数、缓存策略

建议在实际项目中多练习，从简单的静态网站开始，逐步尝试反向代理、负载均衡等高级功能。

免费SSL申请及Nginx反向代理配置教程

Tue, 11 Mar 2025 18:13:48 +0800

一、申请免费SSL证书

1. 从服务商申请（以阿里云为例）

步骤：
1. 登录阿里云控制台，搜索并进入SSL证书服务。
2. 选择免费型DV SSL证书，完成购买并提交申请（需验证域名所有权）。
3. 下载证书文件（通常包含.pem证书和.key私钥文件）。

2. 使用Let’s Encrypt（通用方法）

若需自动化申请，可使用Certbot工具：

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d 你的域名

（注：此方法需域名已解析到服务器且Nginx配置了对应域名的站点）

二、安装Nginx并确认SSL模块

安装Nginx：

sudo apt update && sudo apt install nginx

检查SSL模块：

nginx -V 2>&1 | grep -o with-http_ssl_module

若输出为空，需重新编译Nginx：

./configure --with-http_ssl_module
make && sudo make install

三、配置SSL证书

1. 上传证书文件

将下载的证书（如.pem和.key）上传至服务器，推荐存放路径：

sudo mkdir -p /etc/nginx/certs
# 将文件复制到该目录

2. 修改Nginx配置文件

编辑站点配置文件（如/etc/nginx/sites-available/your_site）：

# 反向代理核心配置（保存为 /etc/nginx/sites-available/your_domain.conf）
server {
 listen 80;
 server_name your-domain.com www.your-domain.com;
 return 301 https://&#36;server_name&#36;request_uri; # 强制HTTPS
}

server {
 listen 443 ssl http2;
 server_name your-domain.com www.your-domain.com;

 # SSL证书配置（根据实际路径修改）
 ssl_certificate /etc/nginx/certs/fullchain.pem;
 ssl_certificate_key /etc/nginx/certs/privkey.key;

 # SSL安全配置
 ssl_session_timeout 1d;
 ssl_session_cache shared:MozSSL:10m;
 ssl_protocols TLSv1.2 TLSv1.3;
 ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
 ssl_prefer_server_ciphers on;
 ssl_stapling on;
 ssl_stapling_verify on;

 # 反向代理核心配置
 location / {
 proxy_pass http://localhost:3000; # 修改为实际后端服务地址

 # 基础代理头设置
 proxy_set_header Host &#36;host;
 proxy_set_header X-Real-IP &#36;remote_addr;
 proxy_set_header X-Forwarded-For &#36;proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto &#36;scheme;

 # WebSocket支持（如需）
 proxy_http_version 1.1;
 proxy_set_header Upgrade &#36;http_upgrade;
 proxy_set_header Connection "upgrade";

 # 超时与缓冲优化
 proxy_connect_timeout 60s;
 proxy_send_timeout 60s;
 proxy_read_timeout 60s;
 proxy_buffers 8 16k;
 proxy_buffer_size 32k;
 }

 # 静态文件分离示例（可选）
 location /static/ {
 alias /var/www/static/;
 expires 30d;
 access_log off;
 }

 # 阻止敏感文件访问
 location ~* /(\.git|config|\.env) {
 deny all;
 return 403;
 }

 # 错误页面定制
 error_page 500 502 503 504 /50x.html;
 location = /50x.html {
 root /usr/share/nginx/html;
 }
}

注意：若证书包含中间证书，需合并到.pem文件中：

cat certificate.pem intermediate.pem > combined.pem

四、重启Nginx并测试

检查配置语法：
```
sudo nginx -t
```
重启服务：
```
sudo systemctl restart nginx
```
访问测试：
- 浏览器输入https://你的域名，确认证书有效性和站点加载。
- 使用SSL Labs测试工具检查安全性评分。

常见问题解决

Nginx报错unknown directive "ssl"
- 需重新编译Nginx并启用--with-http_ssl_module。
浏览器提示证书不受信任
- 检查证书链是否完整（需合并中间证书）。
- 确保证书文件路径权限正确（建议设为644）。
HTTPS无法访问
- 确认防火墙开放443端口：
```
sudo ufw allow 443
```

扩展：自签名证书（仅测试环境）

生成自签名证书：

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/nginx/certs/self.key -out /etc/nginx/certs/self.crt

配置方法与正式证书相同，但浏览器会提示不安全。

以上步骤综合了阿里云、Let’s Encrypt及自签名证书的配置方案，适用于生产与测试环境。如需更详细参数调整（如加密套件优化），可参考SSL/TLS最佳实践文档。