Reverse proxy на nginx своими руками или Privateflare: собрать самому или взять готовое

Если вы льёте трафик, схема знакома: дешёвые VPS ($2–10) держат домены и работают только как nginx-прокси, а тяжёлый контент, лендинги и трекер живут на одном производительном бэкенде. Так реальный сервер не светится, домены разнесены по разным IP, а мусорный трафик и абузы бьют по дешёвой ноде, а не по origin.

Зачем нужна схема с reverse proxy

• Разные IP под домены. Рекламные сети банят домены на одном адресе — прокси-ноды дают каждому пулу доменов свой IP.
• Скрытый бэкенд. Реальный сервер с контентом виден только прокси; наружу — лишь IP ноды.
• Нагрузка и абузы на дешёвую ноду. DDoS и жалобы принимает прокси, а origin остаётся в стороне.
• Контент в одном месте. Обновляете бэкенд один раз — все ноды сразу отдают новую версию.
• Дёшево на старте. Пул копеечных VPS вместо дорогого сервера под каждый домен.

Как это работает на nginx

Домен резолвится на прокси-VPS. На ноде nginx принимает запрос и через proxy_pass отправляет его на upstream — ваш мощный бэкенд. В заголовках передаётся реальный IP посетителя (X-Real-IP / X-Forwarded-For), чтобы бэкенд и трекер видели настоящий адрес, а на прокси можно включить gzip и кеш. В минимальном виде это выглядит так:

upstream backend { server 10.0.0.5:443; }
server {
    listen 443 ssl;
    server_name lander.example;
    location / {
        proxy_pass https://backend;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

Где болит ручная схема

На одной-двух нодах всё просто. Проблемы начинаются, когда доменов сотни, а нод десятки — именно здесь ручной nginx съедает время:

• SSL руками на каждом домене. Сертификаты надо выпускать и продлевать на каждой ноде; проспал продление — домен отвалился с ошибкой сертификата в разгар пролива.
• Конфиги рассинхронизируются. Правку в proxy_pass, лимиты или заголовки нужно раскатить по всем нодам вручную — одна забытая нода отдаёт старую версию.
• Нет единого мониторинга. Чтобы узнать, что нода легла или бэкенд не отвечает, нужен свой сбор логов и алертов — иначе узнаёте по просадке конверсии.
• Долгий перенос при бане ноды. Заблокировали IP — руками поднимаешь новую VPS, ставишь nginx, копируешь конфиги, перевыпускаешь SSL, меняешь DNS. Часы простоя.
• Масштаб = рутина. Каждый новый пул доменов — это снова SSH, конфиги и сертификаты на каждую ноду. Ошибка в шаблоне тиражируется на все.
• Секреты и доступы на нодах. Ключи, адреса бэкенда и конфиги лежат на дешёвых VPS, к которым доступ есть у хостера.

Что берёт на себя платформа

Главный выигрыш управляемой схемы — это экономия времени и качество: рутина уходит, а вероятность ошибки, из-за которой падает домен или связка, резко снижается.

• Синхронизация конфигов и сертификатов. Конфиги и SSL раскатываются на все ноды разом и автоматически — ничего не рассинхронизируется, сертификаты продлеваются сами, домены не отваливаются из-за просроченного SSL.
• Управление из одной точки. Все ноды и домены настраиваются централизованно — никакого SSH и правки nginx на каждой VPS по отдельности; экономия часов на каждой раскатке.
• Низкий порог входа. Не нужны глубокие технические знания и отдельный дорогой админ — всё делается кликами в панели, а не через конфиги, SSH и ручной тюнинг nginx.
• Ноды оптимизированы под защиту. VPS уже настроены и захардены под фильтрацию, лимиты и приём атак — не нужно вручную тюнить каждый голый сервер.
• 0 отпечатков. Ноды не палят общую связь между собой и с бэкендом — снаружи это независимые узлы без единого детектируемого следа.
• Мониторинг и алерты. Состояние нод, доменов и бэкенда видно в реальном времени, а падения и проблемы прилетают в Telegram, а не всплывают просадкой конверсии.
• Отказоустойчивость бэкенда. Если origin недоступен, трафик автоматически переключается на резервный — без ручного вмешательства.

Как поднять на Privateflare вместо ручного nginx

1. Добавьте домены и укажите бэкенд (origin) — приватный IP или адрес вашего сервера с контентом.
2. Распределите домены по нодам и IP прямо из панели, без ручной настройки nginx на каждой VPS.
3. Включите авто-SSL, кеш и WAF — сертификаты выпускаются и продлеваются сами, конфиг применяется на всех нодах разом.
4. Реальный IP посетителя передаётся на бэкенд в заголовках из коробки — статистика трекера не ломается.
5. Закройте бэкенд файрволом на IP нод, а массовые операции делайте через API.

Если ноду заблокируют, переезд занимает считанные минуты и легко автоматизируется — не нужно вручную поднимать nginx и перевыпускать сертификаты.

Частые вопросы