Reverse Proxy für Home Server – Nginx, Caddy oder Traefik?

Vor ein paar Monaten habe ich damit begonnen, Dienste auf dem Heimserver zu stapeln: einen Port für die Web-App, einen Port für die API, einen anderen für das Überwachungs-Dashboard und so weiter. Wenn ich es von außerhalb des Netzwerks öffne, muss ich mir Nummern wie 192.168.1.2:3001 oder 192.168.1.2:8080 merken. Es ist, als hätte man ein Haus mit vielen Türen, aber jede Tür hat eine andere Nummer und kein Namensschild. Gäste, die kommen, werden definitiv verwirrt sein.

Da wurde mir klar, dass Reverse-Proxy nicht nur eine Option, sondern vielmehr die Grundlage eines ordentlichen Heimservers war. In diesem Artikel möchte ich meine Erfahrungen beim Vergleich dreier beliebter Kandidaten teilen: Nginx, Caddy und Traefik. Jeder hat seinen eigenen Charakter und die richtige Wahl hängt von unserem Arbeitsstil ab.

Was ist ein Reverse-Proxy?

Stellen Sie sich einen Reverse-Proxy wie eine Empfangsdame in einem Büro vor. Besucher müssen nur die Büroadresse kennen, nicht die Zimmernummer jedes Mitarbeiters. Der Rezeptionist empfängt die Gäste, prüft ihr Ziel und weist sie dann zum richtigen Zimmer. In der Serverwelt empfängt ein Reverse-Proxy Anfragen aus dem Internet und leitet sie dann an die dahinter laufende Anwendung weiter – normalerweise auf localhost oder dem lokalen Netzwerk.

Die Arbeit des Reverse-Proxy endet hier nicht. Es kann auch SSL-Terminierung (Sicherung von HTTPS-Verbindungen), Lastausgleich, Komprimierung, Caching und sogar einfache Schutzmaßnahmen wie Ratenbegrenzung bewältigen. Im Wesentlichen lässt er die vielen Dienstleistungen hinter ihm wie einen ordentlichen Eingang aussehen.

Warum benötigt ein Heimserver einen Reverse-Proxy?

Wenn wir mehr als einen Dienst auf einem Computer ausführen, hilft der Reverse-Proxy vor allem bei drei Dingen:

• Eine nette Subdomäne oder ein Pfad. Anstatt uns den Port zu merken, können wir ai.lan, office.lan oder adammuiz.com/pdf/ verwenden.
• Automatisches HTTPS. Der Reverse-Proxy kann SSL-Zertifikate verarbeiten, sodass wir TLS nicht in jeder Anwendung konfigurieren müssen.
• Isolation und Sicherheit. Die ursprüngliche Anwendung kann hinter einem Proxy versteckt werden und ist sogar nur über localhost zugänglich.

Auf meinem eigenen Server ist der Reverse-Proxy der Grund, warum b.lan, o.lan und mehrere andere Tools eine IP teilen können, ohne dass es zu Konflikten kommt. Ohne ihn würde jeder Dienst um die Ports 80 und 443 kämpfen.

Nginx – Der zuverlässige Veteran

Nginx ist wie ein altes Motorrad, das immer noch tourentauglich ist. Es gibt es schon lange, die Dokumentation ist umfangreich und die Leistung ist bewährt. Viele Tutorials im Internet basieren immer noch auf Nginx. Wenn Sie also nicht weiterkommen, ist die Wahrscheinlichkeit groß, dass andere Leute das gleiche Problem hatten.

Der Vorteil von Nginx ist seine Flexibilität. Dabei kann es sich um einen Reverse-Proxy, einen statischen Webserver, einen Load Balancer oder eine Caching-Ebene handeln. Die Grundkonfiguration ist ziemlich klar, obwohl sie für Anfänger etwas langatmig erscheint, da man die Konzepte von server block, location und upstream verstehen muss.

Der Nachteil? Nginx verfügt nicht über integriertes automatisches HTTPS. Wenn wir Let’s Encrypt wollen, müssen wir certbot oder etwas Ähnliches installieren und dann cron auf „renew“ einstellen. Es ist keine große Sache, aber es erfordert einen zusätzlichen Schritt.

Caddy – Der smarte Minimalist

Caddy ist ein Reverse-Proxy, der im Vergleich zum klassischen Nginx den Eindruck erweckt, eine moderne Sprache zu verwenden. Die Konfigurationsdatei ist sehr übersichtlich und die attraktivste Funktion ist automatisches HTTPS. Caddy kann Let's Encrypt-Zertifikate selbst und ohne zusätzliche Crons verwalten. Schreiben Sie einfach die Domain und es wird versucht, ein Zertifikat zu erhalten.

Wenn Sie gerade einen Heimserver starten und schnelle Ergebnisse ohne großen Konfigurationsaufwand wünschen, ist Caddy eine sehr sinnvolle Wahl. Eine Zeile wie diese reicht aus, um einen Dienst voranzutreiben:

ai.lan {
    reverse_proxy localhost:3001
}

Konfigurieren Sie Caddy so, dass die Domain an den Dienst auf Port 3001 weitergeleitet wird.

Natürlich ist der Caddy nicht ganz perfekt. Die Community ist kleiner als Nginx und bei bestimmten komplexen Konfigurationen können sich Caddy-Ausdrücke ungewohnt anfühlen. Aber für die Größe eines Heimservers ist es oft mehr als genug.

Traefik – Cloud-native Optionen

Traefik fühlt sich wie ein Netzwerkadministrator, der im Container-Zeitalter geboren wurde. Es ist für die Verwendung mit Docker, Kubernetes und dynamischen Labels konzipiert. Wenn Sie viele Container ausführen und häufig Dienste hinzufügen oder entfernen, kann Traefik Änderungen automatisch über Docker-Labels erkennen.

Der Vorteil von Traefik ist die nahtlose Integration in moderne Ökosysteme. Es verfügt außerdem über ein interessantes integriertes Dashboard, sodass wir das aktive Routing sehen können. Aber seine Stärke ist auch seine Schwäche: Traefik erfordert ein Verständnis von Docker, Labels und Anbietern. Wenn Ihr Heimserver immer noch auf traditionellen Diensten oder SystemD basiert, kann Traefik überflüssig erscheinen.

Kurzer Vergleich

Einfaches Konfigurationsbeispiel

Um das Bild realistischer zu machen, finden Sie hier ein Beispiel für die Weiterleitung einer Subdomain an einen lokalen Dienst in jedem Reverse-Proxy. Nehmen wir an, wir haben einen Dienst unter localhost:3001 und möchten über ai.lan darauf zugreifen.

Nginx

server {
    listen 80;
    server_name ai.lan;

    location / {
        proxy_pass http://localhost:3001;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

Server blockiert Nginx, um den Proxy für lokale Dienste umzukehren.

Caddy

ai.lan {
    reverse_proxy localhost:3001
}

Eine minimalistische Version des Caddy für die gleichen Bedürfnisse.

Traefik (mit Docker-Labels)

labels:
  - "traefik.enable=true"
  - "traefik.http.routers.ai.rule=Host(`ai.lan`)"
  - "traefik.http.routers.ai.service=ai-service"
  - "traefik.http.services.ai-service.loadbalancer.server.port=3001"

Docker-Labels für Traefik erkennen Dienste automatisch.

Wenn Sie immer noch verwirrt sind, beginnen Sie für ein oder zwei Dienste mit Caddy. Wenn Sie sich wohl fühlen, überlegen Sie, ob Sie Nginx für eine detailliertere Steuerung oder Traefik für die Containerumgebung benötigen.

Was soll ich wählen?

Auf meinem aktuellen Server ist Nginx immer noch der wichtigste Reverse-Proxy. Der Grund ist einfach: Ich bin an das Konfigurationsmuster gewöhnt und die meisten meiner Dienste laufen nicht in Docker. Aber für neue Projekte, die schnell mit automatischem HTTPS laufen wollen, zögere ich nicht, mich für Caddy zu entscheiden.

Traefik erregt meine Aufmerksamkeit, insbesondere wenn ich eines Tages zu einer ernsthafteren Container-Orchestrierung übergehe. Aber für einen privaten Heimserver mit mehreren Diensten fühlt sich Traefik so an, als würde man einen Container-LKW mitnehmen, um eine einzelne Kiste auszuliefern.

Schlussfolgerung

Reverse Proxy ist ein Gerät, das dafür sorgt, dass unser Heimserver nicht wie ein Supermarkt aussieht, in dem jedes Regal einen anderen Zugriff hat. Er vereint viele Dienste in einem Eingang, der übersichtlich, sicher und leicht zu merken ist.

Nginx eignet sich für diejenigen, die volle Kontrolle und eine große Community mögen. Caddy eignet sich für alle, die mit minimaler Konfiguration schnell fahren möchten. Traefik eignet sich für diejenigen, die im Docker-Ökosystem leben und dynamische Automatisierung benötigen.

Es gibt keine absolute Antwort. Das Beste ist das Tool, das Ihren heutigen Anforderungen entspricht, nicht das beliebteste Tool im Forum. Wählen Sie einen aus, führen Sie ihn aus und erleben Sie selbst, wie ein Reverse-Proxy die Art und Weise verändert, wie Sie Ihren Heimserver verwalten.

Wenn Sie Erfahrung mit einem dieser drei Reverse-Proxys haben, schreiben Sie in die Kommentarspalte. Es macht mir Spaß, aus der Perspektive anderer Menschen zu lernen.