Введение

Nginx Proxy Manager (NPM) — это бесплатный open-source инструмент с веб-интерфейсом, который кардинально упрощает работу с обратным прокси на базе Nginx. Вместо ручного редактирования десятков конфигурационных файлов вы управляете прокси-правилами, доменами и SSL-сертификатами через удобную панель в браузере. Однако, вынос внутренних сервисов в сеть требует тщательной защиты. Поэтому умение настроить авторизацию nginx proxy является критически важным навыком для обеспечения безопасности инфраструктуры.

Основные механизмы защиты

В NPM реализованы два основных способа контроля доступа, которые покрывают 99% сценариев использования. Это встроенные «Access Lists» (Списки доступа). Они позволяют гибко комбинировать методы аутентификации и фильтрации.

1. Базовая авторизация (Basic Auth): Браузер запрашивает логин и пароль при каждом обращении к ресурсу. Это стандартный механизм HTTP, который надежно защищает панели управления и административные интерфейсы.
2. Ограничение по IP-адресам: Вы можете разрешить доступ только с определенных IP-адресов или подсетей. Это идеальный вариант для сервисов, к которым нужно обращаться только из доверенной домашней или офисной сети.

Пошаговая настройка Basic Auth

Чтобы защитить ваш сервис, выполните следующие действия в веб-интерфейсе Nginx Proxy Manager:

1. Перейдите в раздел Access Lists и нажмите кнопку Add Access List.
2. Введите имя списка (например, «Admin Protection»).
3. В разделе Authentication нажмите Add и создайте нового пользователя, указав надежный логин и сложный пароль.
4. Сохраните список.
5. Теперь откройте настройки нужного Proxy Host.
6. На вкладке Access Lists выберите созданный список из выпадающего меню.
7. Нажмите Save.

После этого любой запрос к домену будет блокироваться до ввода корректных учетных данных.

Настройка ограничения по IP

Для сценариев, где авторизация не нужна, но доступ должен быть ограничен, используется фильтрация IP. Процесс аналогичен:

1. Создайте новый Access List.
2. В поле Allowed IP Addresses перечислите доверенные адреса через запятую (например, 192.168.1.50, 10.0.0.0/24).
3. Назначьте этот список Proxy Host.

Сравнение методов

Продвинутая конфигурация

В редких случаях, когда штатных средств недостаточно, можно использовать «Custom Locations» для внедрения сложных правил Nginx. Например, для защиты конкретного пути с использованием стороннего файла паролей:

location /secret {
    auth_basic "Restricted Area";
    auth_basic_user_file /etc/nginx/.htpasswd;
    proxy_pass http://backend:8080;
}

Однако, в большинстве случаев функционала NPM достаточно, чтобы надежно настроить авторизацию nginx proxy без вмешательства в базовые конфигурации.

Вопрос-ответ (FAQ)

Можно ли использовать Basic Auth без HTTPS?

Технически можно, но это крайне небезопасно. Пароль передается в заголовке Authorization в кодировке Base64, которую легко декодировать. NPM автоматически предоставляет SSL-сертификаты, поэтому всегда используйте HTTPS.

Как сбросить пароль, если забыли данные от Access List?

Данные хранятся в базе SQLite внутри контейнера. Можно зайти в контейнер через консоль (docker exec) и выполнить SQL-запрос для обновления хеша пароля, либо просто удалить и пересоздать список доступа, если это не критично.

Влияет ли включение авторизации на производительность?

Нет, проверка учетных данных происходит на уровне Nginx и потребляет минимальные ресурсы процессора, что незаметно для пользователя.