HOJ部署进阶：绕过宝塔，用Nginx反向代理直接配置Docker服务的域名与HTTPS

HOJ部署进阶：Nginx反向代理直连Docker服务的全手动配置指南

当你在服务器上运行HOJ在线判题系统时，是否厌倦了依赖宝塔面板这类图形化工具？本文将带你深入探索完全通过命令行配置Nginx反向代理和HTTPS的全过程，实现从域名解析到安全访问的一站式解决方案。

1. 环境准备与基础架构

在开始之前，确保你的服务器已经安装好以下组件：

• Docker和docker-compose：用于部署HOJ服务
• Nginx：作为反向代理服务器
• Certbot（可选）：用于自动获取Let's Encrypt证书
• 基础工具链：git、vim等常用工具

典型的部署架构如下：

用户请求 → 域名解析 → 服务器80/443端口 → Nginx反向代理 → Docker容器内部端口

这种架构的优势在于：

• 资源占用低：无需运行宝塔等图形界面
• 控制粒度细：每个配置参数都可手动调整
• 安全性高：减少不必要的服务暴露
• 可移植性强：配置可轻松迁移到其他服务器

2. 域名解析与Nginx基础配置

首先，无论是否使用宝塔，域名解析的步骤都是相同的。在域名服务商处添加A记录，将域名指向你的服务器IP地址。DNS生效通常需要几分钟到几小时不等，可以使用dig或nslookup命令检查解析是否生效。

接下来是Nginx的核心配置。在/etc/nginx/conf.d/目录下创建新的配置文件，例如hoj.conf：

server { listen 80; server_name yourdomain.com; location / { proxy_pass http://127.0.0.1:8081; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; } }

关键参数说明：

• listen 80：监听HTTP默认端口
• server_name：填写你的域名
• proxy_pass：指向HOJ容器实际运行的端口
• proxy_set_header：确保原始请求信息能正确传递给后端

配置完成后，测试Nginx配置并重启服务：

sudo nginx -t # 测试配置 sudo systemctl restart nginx # 重启服务

3. HTTPS配置与证书管理

现代网站几乎都必须支持HTTPS。我们有两种主要方式获取SSL证书：

3.1 使用Certbot自动获取证书

Certbot是获取Let's Encrypt免费证书的官方推荐工具：

sudo apt install certbot python3-certbot-nginx sudo certbot --nginx -d yourdomain.com

Certbot会自动完成以下工作：

1. 验证域名所有权
2. 获取并安装证书
3. 自动配置Nginx
4. 设置自动续期

3.2 手动配置商业SSL证书

如果你已经购买了商业SSL证书，通常你会得到两个文件：

1. 证书文件（.crt或.pem）
2. 私钥文件（.key）

将这些文件上传到服务器安全位置（如/etc/ssl/private/），然后修改Nginx配置：

server { listen 443 ssl; server_name yourdomain.com; ssl_certificate /etc/ssl/private/yourdomain.crt; ssl_certificate_key /etc/ssl/private/yourdomain.key; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'TLS_AES_128_GCM_SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256'; location / { proxy_pass http://127.0.0.1:8081; # 保持原有的proxy_set_header配置 } } server { listen 80; server_name yourdomain.com; return 301 https://$host$request_uri; }

这个配置实现了：

• HTTPS监听443端口
• HTTP自动跳转到HTTPS
• 现代TLS协议和加密套件
• 保持原有的反向代理功能

4. 解决Docker端口冲突问题

当多个服务都需要443端口时，我们需要解决端口冲突问题。以下是几种解决方案：

4.1 容器使用非标准端口

最简单的方案是修改docker-compose.yml，让容器使用非标准端口：

services: hoj: ports: - "8081:80" - "8443:443" # 避免与宿主机443冲突

然后在Nginx配置中将请求代理到8443端口。

4.2 使用iptables直接转发

更优雅的方案是使用iptables直接转发流量，完全绕过端口映射：

sudo iptables -t nat -A PREROUTING -p tcp --dport 443 -j DNAT --to-destination 172.17.0.2:443 sudo iptables -t nat -A POSTROUTING -j MASQUERADE

注意：

• 172.17.0.2需要替换为你的容器实际IP
• 这些规则重启后会失效，需要持久化保存

4.3 使用Docker host网络模式

另一种方法是让容器直接使用宿主机的网络栈：

services: hoj: network_mode: "host"

这样容器就能直接绑定到宿主机的443端口，但需要注意：

• 容器不再有独立的网络命名空间
• 可能带来安全风险
• 多个服务无法同时使用相同端口

5. 高级优化与安全配置

基础功能实现后，我们可以进一步优化性能和安全性。

5.1 Nginx性能调优

proxy_buffer_size 128k; proxy_buffers 4 256k; proxy_busy_buffers_size 256k; # 启用gzip压缩 gzip on; gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript; # 静态资源缓存 location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ { expires 30d; add_header Cache-Control "public, no-transform"; }

5.2 安全加固

# 禁用不必要的HTTP方法 if ($request_method !~ ^(GET|HEAD|POST)$ ) { return 405; } # 防止信息泄露 server_tokens off; # 安全头部 add_header X-Frame-Options "SAMEORIGIN"; add_header X-Content-Type-Options "nosniff"; add_header X-XSS-Protection "1; mode=block"; add_header Referrer-Policy "strict-origin-when-cross-origin";

5.3 日志与监控

配置访问日志和错误日志：

access_log /var/log/nginx/hoj_access.log combined buffer=32k flush=5m; error_log /var/log/nginx/hoj_error.log warn;

可以使用logrotate工具定期轮转日志：

sudo vim /etc/logrotate.d/nginx-hoj # 添加以下内容 /var/log/nginx/hoj_*.log { daily missingok rotate 30 compress delaycompress notifempty create 0640 www-data adm sharedscripts postrotate /usr/lib/nginx/nginx -s reopen endscript }

6. 与宝塔方案的对比分析

手动配置与使用宝塔面板各有优劣：

在实际项目中，我通常会根据团队技术能力和项目需求选择方案。对于长期运行的生产环境，手动配置往往能带来更好的性能和安全性控制。