Настройка Nginx Proxy Manager: публикация сервисов наружу

Рано или поздно в любой компании сервис, который жил только во внутренней сети, нужно открыть наружу. Бухгалтерии нужен доступ к 1С из дома, менеджерам — к CRM с телефона, разработчикам — к панели тестового стенда. И вот тут начинается самое интересное: если просто пробросить порт наружу, через неделю к вам придут сканеры уязвимостей, боты и желающие перебрать пароли. Настройка nginx proxy manager решает эту задачу правильно: сервисы открываются по доменным именам через HTTPS, а не голыми портами на IP.

Услуга подходит компаниям с внутренними сервисами, которые нужно опубликовать наружу безопасно. Не важно, одна у вас панель или пять, подход одинаковый: reverse proxy, сертификаты, защита от перебора.

Что входит в услугу

Собираю рабочий контур публикации сервисов: от инвентаризации до проверки снаружи.

• Reverse proxy на Nginx Proxy Manager — прослойка, которая принимает запросы снаружи и направляет их на нужный внутренний сервис по домену
• SSL-сертификаты (Let’s Encrypt), чтобы сервисы работали по HTTPS, а не по голому HTTP
• CrowdSec или fail2ban — автоматическая блокировка IP, с которых идёт перебор паролей или сканирование
• Закрытие лишних портов на firewall, чтобы наружу торчало только то, что действительно нужно

Как проходит работа

%%{init: {
  'theme': 'base',
  'themeVariables': {
    'primaryColor': '#ffffff',
    'primaryTextColor': '#1e293b',
    'primaryBorderColor': '#94a3b8',
    'lineColor': '#64748b',
    'fontSize': '15px',
    'fontFamily': 'ui-sans-serif, system-ui, sans-serif'
  },
  'flowchart': {'curve': 'linear', 'nodeSpacing': 50, 'rankSpacing': 50}
}}%%
flowchart TD
    S1["1. Инвентаризация сервисов"]
    S2["2. Установка reverse proxy"]
    S3["3. SSL-сертификаты"]
    S4["4. CrowdSec/fail2ban"]
    S5["5. Проверка снаружи и документация"]
    S1 --> S2
    S2 --> S3
    S3 --> S4
    S4 --> S5
    style S1 fill:#f8fafc,stroke:#3b82f6,stroke-width:2px,color:#1e40af
    style S2 fill:#f8fafc,stroke:#94a3b8,stroke-width:2px,color:#1e293b
    style S3 fill:#f8fafc,stroke:#94a3b8,stroke-width:2px,color:#1e293b
    style S4 fill:#f8fafc,stroke:#94a3b8,stroke-width:2px,color:#1e293b
    style S5 fill:#f8fafc,stroke:#22c55e,stroke-width:2px,color:#15803d

1. Инвентаризация сервисов. Смотрю, что именно нужно опубликовать: какие сервисы, на каких портах, кому нужен доступ.
2. Установка reverse proxy. Разворачиваю Nginx Proxy Manager на сервере или ВМ, настраиваю маршрутизацию по доменным именам.
3. SSL и ограничение доступа. Выпускаю сертификаты, настраиваю перенаправления с HTTP на HTTPS, при необходимости ограничиваю доступ по IP или паролю.
4. Защита от атак. Ставлю CrowdSec или fail2ban, закрываю на firewall всё, что не должно быть видно снаружи.
5. Проверка и документация. Проверяю работу сервисов снаружи, под разными устройствами, отдаю документацию с настройками и доступами.

Какое оборудование понадобится

Нужен сервер или виртуальная машина под reverse proxy и белый IP-адрес (статический публичный адрес, по которому сервисы будут доступны из интернета). Если своего сервера нет, подберу под задачу.

Что разворачиваем

В итоге на вашей инфраструктуре работают: Nginx Proxy Manager как reverse proxy, Let’s Encrypt для автоматического выпуска и продления SSL-сертификатов, CrowdSec или fail2ban для защиты от атак, и настроенные правила firewall.

Что вы получите в результате

Сервисы станут доступны снаружи по HTTPS и по доменным именам, а не по IP с голыми портами. Лишние порты закрыты, атаки перебора паролей и сканирование блокируются автоматически, без вашего участия.

Стоимость

Базовая цена покрывает публикацию до 5 сервисов. Каждый сервис сверх этого числа и дополнительные опции вроде веб-интерфейса мониторинга блокировок считаются отдельно.

Не входит в стоимость: Домен и DNS-хостинг.

После сдачи работ: 14 дней — бесплатное исправление недочётов. Дальше: разовые работы 2 000 ₽/час или поддержка от 4 000 ₽/мес.

Что нужно от вас

• Доступ к DNS вашего домена (чтобы прописать записи на сервисы)
• Список сервисов, которые нужно опубликовать, с адресами и портами внутри сети
• Доступ к серверу или ВМ, где будет работать reverse proxy
• Контакт для согласования, если по ходу работы понадобится уточнить детали

Частые вопросы

Работа идёт удалённо или нужен выезд?

Удалённо. Всё настраивается через удалённый доступ к серверу.

Сколько по времени занимает настройка?

2-3 дня с момента, как получу доступ к DNS и список сервисов.

Что если у меня нет сервера под reverse proxy?

Подберу под задачу, можно развернуть на существующей инфраструктуре или новой виртуальной машине.

Что будет, если после сдачи что-то не заработает?

14 дней после сдачи исправляю недочёты бесплатно. Дальше разовые работы оплачиваются отдельно или подключается помесячная поддержка.

Можно опубликовать больше 5 сервисов?

Да, каждый сервис сверх базового пакета считается отдельно.

Это защитит от всех атак?

CrowdSec и fail2ban блокируют перебор паролей и типовое сканирование. От направленной атаки с ресурсами не прикроет никакой reverse proxy, но таких случаев у малого бизнеса, к счастью, немного.