Reverse Proxy einrichten: Caddy, Traefik & Nginx im Vergleich

Das brauchen Sie vorab

• Ein Server mit Linux (zum Beispiel Ubuntu 22.04), auf dem Sie Administratorrechte haben. Ohne eigenen Server, auf dem Sie Software installieren dürfen, funktioniert nichts von dem Folgenden. Ein günstiger virtueller Server (VPS) bei einem Hoster reicht völlig aus.
• Eine eigene Domain, also ein Name wie meine-seite.de. Let's Encrypt stellt kostenlose SSL-Zertifikate nur für echte Domains aus, nicht für nackte IP-Adressen. Ohne Domain gibt es also kein automatisches HTTPS.
• Zugriff auf die DNS-Einstellungen Ihrer Domain. DNS ist das 'Telefonbuch des Internets': Es verbindet Ihren Domainnamen mit der IP-Adresse Ihres Servers. Sie müssen dort einen Eintrag setzen können.
• Ein Terminal-Programm, um sich per SSH mit dem Server zu verbinden. SSH ist eine sichere Fernverbindung, über die Sie Befehle auf dem Server eingeben. Auf Mac und Linux ist das im 'Terminal' schon dabei, unter Windows nutzen Sie die PowerShell.
• Grundlegende Sicherheit im Umgang mit der Kommandozeile: Sie sollten wissen, dass Sie Befehle Zeichen für Zeichen korrekt eingeben müssen und dass ein falsch getippter Befehl Fehler verursachen kann.

Schritt für Schritt

1. Verstehen, was ein Reverse Proxy überhaupt macht

   Bevor Sie etwas installieren, sollten Sie das Grundprinzip verstehen. Ein Reverse Proxy ist ein Vermittler. Er steht zwischen dem Besucher (dem Browser) und Ihren eigentlichen Programmen (den Backend-Diensten). Der Besucher spricht immer nur mit dem Reverse Proxy, und dieser leitet die Anfrage an das richtige Programm im Hintergrund weiter.

   Warum braucht man das? Stellen Sie sich vor, Sie haben mehrere Programme auf einem Server: ein Blog, eine Cloud für Ihre Dateien und ein Dashboard. Jedes läuft auf einem eigenen internen 'Port' – das ist wie eine Türnummer im Haus, zum Beispiel Port 3000 oder 8080. Nach außen möchten Besucher aber alle über die normalen Web-Türen erreichbar sein: Port 80 für http und Port 443 für https.

   Genau das löst der Reverse Proxy. Er hört auf Port 80 und 443 und entscheidet anhand des Domainnamens, wohin die Anfrage geht. Ruft jemand blog.meine-seite.de auf, schickt er ihn zum Blog. Ruft jemand cloud.meine-seite.de auf, schickt er ihn zur Cloud. Nebenbei kümmert er sich um die Verschlüsselung (SSL-Terminierung), sodass der Verkehr sicher über https läuft.

   Merken Sie sich diese drei Begriffe: 'Backend' = das eigentliche Programm im Hintergrund. 'Port' = die interne Türnummer. 'SSL-Zertifikat' = der digitale Ausweis, der https und das grüne Schloss im Browser ermöglicht.

2. Das passende Werkzeug auswählen: Caddy, Traefik oder Nginx Proxy Manager

   Es gibt viele Reverse Proxys, aber drei sind besonders anfängerfreundlich – jeder mit einem eigenen Schwerpunkt. Nehmen Sie sich kurz Zeit für die Wahl, denn sie bestimmt, wie einfach der Rest wird.

   Caddy ist die einfachste Lösung. Es ist ein einzelnes Programm (eine 'Binary', also eine fertige ausführbare Datei), und es holt sich HTTPS-Zertifikate völlig automatisch, ohne dass Sie irgendetwas einstellen müssen. Die Konfiguration passt oft in zwei Zeilen. Ideal, wenn Sie ein bis fünf Dienste betreiben und keine Lust auf Komplexität haben.

   Traefik ist für die Docker-Welt gemacht. Docker ist eine Technik, mit der man Programme in isolierten 'Containern' verpackt. Traefik erkennt neue Container automatisch und richtet sie selbstständig ein. Das ist mächtig, hat aber eine steilere Lernkurve – Sie sollten Docker schon kennen.

   Der Nginx Proxy Manager hat als Einziger eine grafische Weboberfläche, die Sie im Browser bedienen. Sie klicken sich durch Menüs, statt Textdateien zu bearbeiten. SSL aktivieren Sie per Häkchen. Für diese Anleitung wählen wir Caddy als Hauptbeispiel, weil es am schnellsten zum Erfolg führt – die anderen beiden zeige ich Ihnen danach ergänzend.

3. Die DNS-Einstellung für Ihre Domain setzen

   Damit ein Besucher Ihre Domain überhaupt bei Ihrem Server findet, muss der Domainname auf die IP-Adresse Ihres Servers zeigen. Diese Verbindung stellen Sie in der DNS-Verwaltung Ihres Domain-Anbieters her.

   Melden Sie sich bei Ihrem Domain-Anbieter an und öffnen Sie den Bereich für DNS-Einträge. Legen Sie dort einen sogenannten A-Record an. Ein 'A-Record' ist einfach ein Eintrag, der einen Namen mit einer IPv4-Adresse verknüpft. Als Name tragen Sie zum Beispiel blog ein (für blog.meine-seite.de), als Wert die IP-Adresse Ihres Servers.

   Die IP-Adresse Ihres Servers finden Sie im Kundenbereich Ihres Hosters oder direkt auf dem Server mit dem folgenden Befehl. Dieser Befehl fragt bei einem Internetdienst nach, wie Ihr Server von außen gesehen wird, und zeigt die öffentliche IP-Adresse an:

   curl ifconfig.me

4. Prüfen, ob der DNS-Eintrag wirkt

   DNS-Änderungen brauchen manchmal ein paar Minuten, bis sie überall im Internet bekannt sind. Bevor Sie weitermachen, sollten Sie kontrollieren, ob Ihr Domainname schon auf die richtige IP zeigt. Sonst kann Let's Encrypt später kein Zertifikat ausstellen.

   Führen Sie auf Ihrem Server den folgenden Befehl aus. dig ist ein Werkzeug, das DNS-Einträge abfragt. Der Zusatz +short sorgt dafür, dass nur das Wesentliche angezeigt wird, nämlich die IP-Adresse, auf die Ihre Domain aktuell verweist:

   Ersetzen Sie blog.meine-seite.de durch Ihre eigene Subdomain. Nach dem Ausführen sollte genau die IP-Adresse Ihres Servers erscheinen. Ist das der Fall, hat DNS funktioniert und Sie können weitermachen. Erscheint gar nichts oder eine falsche Adresse, warten Sie fünf Minuten und versuchen es erneut.

   dig +short blog.meine-seite.de

5. Caddy installieren

   Jetzt installieren wir Caddy. Wir holen es aus dem offiziellen Software-Verzeichnis (Repository), damit Sie automatisch saubere Updates bekommen. Ein 'Repository' ist eine Art App-Store für Linux-Programme.

   Verbinden Sie sich zunächst per SSH mit Ihrem Server. Führen Sie dann nacheinander die folgenden Befehle aus. Der erste Block installiert Hilfsprogramme, fügt den digitalen Schlüssel des Caddy-Repositorys hinzu (damit Ihr System dessen Echtheit prüfen kann) und trägt das Repository in Ihre Paketquellen ein:

   Führen Sie danach die Aktualisierung und die eigentliche Installation aus. Der Befehl apt update frischt die Liste verfügbarer Programme auf, und apt install caddy installiert Caddy dann. Nach erfolgreicher Installation sehen Sie in der Ausgabe, dass Caddy eingerichtet und als Hintergrunddienst gestartet wurde.

   sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
   sudo apt update
   sudo apt install caddy

6. Prüfen, ob Caddy läuft

   Caddy startet nach der Installation automatisch als sogenannter 'Dienst' im Hintergrund – das bedeutet, es läuft dauerhaft, auch nach einem Neustart des Servers. Kontrollieren wir das kurz.

   Der folgende Befehl zeigt den Status des Caddy-Dienstes an. systemctl ist das Werkzeug, mit dem Linux Hintergrunddienste verwaltet, und status fragt den aktuellen Zustand ab:

   In der Ausgabe suchen Sie nach der grün markierten Zeile active (running). Steht dort 'running', läuft Caddy einwandfrei. Mit der Taste q verlassen Sie die Anzeige wieder. Sollte dort 'failed' stehen, notieren Sie sich die Fehlermeldung – dazu später mehr im Problem-Abschnitt.

   sudo systemctl status caddy

7. Die Caddy-Konfiguration schreiben (Ihr erster Dienst mit HTTPS)

   Jetzt kommt der spannende Teil. Caddy wird über eine Textdatei namens Caddyfile gesteuert. Diese liegt unter /etc/caddy/Caddyfile. Öffnen Sie sie mit einem Texteditor wie nano, der direkt im Terminal läuft:

   Löschen Sie den vorhandenen Beispielinhalt und tragen Sie stattdessen Ihre Konfiguration ein. Im folgenden Beispiel sagen wir Caddy: 'Wenn jemand blog.meine-seite.de aufruft, leite die Anfrage an das Programm weiter, das lokal auf Port 3000 läuft.' Der Ausdruck reverse_proxy localhost:3000 bedeutet genau das – localhost heißt 'derselbe Server', und 3000 ist die interne Türnummer Ihres Backends.

   Das Schöne: Sie müssen für HTTPS nichts weiter tun. Sobald Sie einen echten Domainnamen verwenden, holt Caddy automatisch ein Let's-Encrypt-Zertifikat und aktiviert die Verschlüsselung. In nano speichern Sie mit Strg + O, bestätigen mit Enter und schließen mit Strg + X.

   Passen Sie Domain und Port an Ihre Situation an. Wenn Ihr eigentliches Programm auf einem anderen Port läuft, ersetzen Sie die 3000 entsprechend.

   sudo nano /etc/caddy/Caddyfile
   
   # Inhalt der Datei:
   blog.meine-seite.de {
       reverse_proxy localhost:3000
   }

8. Caddy neu laden und das Ergebnis testen

   Damit Ihre Änderungen wirksam werden, muss Caddy die neue Konfiguration einlesen. Ein 'Reload' lädt die Einstellungen neu, ohne den Dienst komplett anzuhalten – laufende Verbindungen brechen also nicht ab.

   Führen Sie den folgenden Befehl aus. Er weist den Caddy-Dienst an, die geänderte Datei erneut zu lesen. Erscheint danach keine Fehlermeldung, hat alles geklappt. Caddy beginnt nun im Hintergrund, das SSL-Zertifikat bei Let's Encrypt anzufordern – das dauert wenige Sekunden.

   Öffnen Sie danach Ihren Browser und geben Sie https://blog.meine-seite.de ein. Sie sollten Ihr Backend-Programm sehen, und in der Adressleiste erscheint ein Schloss-Symbol für eine sichere Verbindung. Herzlichen Glückwunsch – Ihr erster Dienst läuft jetzt hinter einem Reverse Proxy mit automatischem HTTPS.

   sudo systemctl reload caddy

9. Die Alternativen kennenlernen: Traefik und Nginx Proxy Manager

   Damit Sie eine informierte Wahl treffen können, hier die beiden anderen Wege in Kurzform. Beide setzen Docker voraus, also die Container-Technik von vorhin.

   Beim Nginx Proxy Manager starten Sie einen fertigen Container und bedienen dann alles im Browser. Nach dem Start erreichen Sie die Verwaltungsoberfläche über Port 81 (Adresse http://IHRE-IP:81). Dort legen Sie 'Proxy Hosts' per Formular an: Domain eintragen, Zielserver und Port angeben, im Reiter 'SSL' ein Let's-Encrypt-Zertifikat mit einem Klick anfordern. Perfekt, wenn Sie ungern in Textdateien arbeiten. Das folgende Docker-Compose-Beispiel startet den Manager:

   Traefik hingegen konfiguriert man über 'Labels', das sind kleine Beschriftungen direkt an Ihren Docker-Containern. Traefik liest diese Labels aus und richtet den Dienst automatisch ein, sobald ein Container startet. Die zentralen Grundeinstellungen (etwa die 'entryPoints' für Port 80 und 443 und der 'certificatesResolver' für Let's Encrypt) legen Sie einmalig in einer Datei traefik.yml fest. Das ist die flexibelste, aber auch anspruchsvollste Variante und lohnt sich vor allem, wenn Sie viele Container automatisiert betreiben.

   # docker-compose.yml für Nginx Proxy Manager
   services:
     npm:
       image: 'jc21/nginx-proxy-manager:latest'
       restart: unless-stopped
       ports:
         - '80:80'
         - '81:81'
         - '443:443'
       volumes:
         - ./data:/data
         - ./letsencrypt:/etc/letsencrypt

Häufige Probleme und Lösungen

Fazit

Sie verstehen jetzt, dass ein Reverse Proxy als Vermittler mehrere Dienste über eine sichere Adresse erreichbar macht und dabei automatisch für HTTPS sorgt. Mit Caddy haben Sie den schnellsten Einstieg gewählt und Ihren ersten Dienst live gebracht. Wenn Sie später mit vielen Docker-Containern arbeiten, ist Traefik einen Blick wert, und wer lieber klickt statt tippt, ist mit dem Nginx Proxy Manager gut bedient.

Häufige Fragen