Moldova · Proxy_Hosting · 27-10-2026
Un proxy invers stă între vizitator și aplicația ta: primește cererea pe portul 443, o redirecționează către procesul care ascultă pe 127.0.0.1:3000 sau 8080 și întoarce răspunsul. Pe un VPS din Chișinău, cumpărat de la un furnizor local cu 150–300 de lei pe lună pentru 2 vCPU și 4 GB RAM, câștigul e concret: ascunzi porturile aplicației, termini TLS-ul într-un singur loc și poți rula mai multe site-uri pe aceeași adresă IP.
Diferența față de un proxy direct (forward proxy) este importantă. Proxy-ul direct iese în internet în locul calculatorului tău, ca să ocolești o restricție sau să maschezi un IP. Cel invers intră în infrastructura ta și nu are legătură cu ocolirea blocajelor. Mulți administratori confundă cele două și ajung să instaleze pe serverul public un instrument gândit pentru altceva.
Dacă găzduiești pe un plan comun de tipul celor vândute sub eticheta de „вордпресс хостинг”, accesul la configurația proxy-ului e de obicei blocat. Pentru un proxy invers real ai nevoie de acces root și de un domeniu cu înregistrări A corecte, altfel Let's Encrypt nu poate valida serverul.
Mesajul „504 Gateway Time-out” nu înseamnă că nginx e defect. Înseamnă că procesul din spate nu a răspuns în intervalul stabilit. Valoarea implicită pentru proxy_read_timeout este de 60 de secunde, iar o interogare lentă la o bază de date MariaDB sau un raport generat în PHP poate depăși lejer acest prag.
Primul lucru de verificat este dacă aplicația ascultă efectiv pe portul din configurație. O comandă rapidă arată cine e pe portul respectiv și te scutește de presupuneri. Al doilea pas: uită-te la logurile aplicației, nu doar la cele ale nginx. Dacă procesul Node sau Gunicorn a murit din lipsă de memorie, proxy-ul va raporta timeout deși problema e la nivel de resurse.
Crește proxy_connect_timeout și proxy_read_timeout la 120–180 de secunde pentru rutele grele, dar nu global. Mai eficient este să adaugi un bloc dedicat pentru căile lente, de exemplu cele de export sau rapoarte, și să lași restul traficului cu valorile implicite. Verifică și proxy_buffering: pentru descărcări mari sau răspunsuri în streaming, dezactivarea bufferingului reduce latența percepută.
Un detaliu des întâlnit pe serverele mici: dacă ai mai puțin de 1 GB RAM și rulezi și baza de date pe același VPS, swap-ul devine obligatoriu. Fără el, kernel-ul omoară procesul aplicației exact în momentul în care utilizatorii sunt mai mulți.
lighttpd rămâne o alegere rațională pentru servere cu memorie redusă, cum sunt cele de 512 MB folosite pentru site-uri de prezentare. Modulul mod_proxy se activează în câteva linii și redirecționează către un backend PHP-FPM sau către un serviciu ascultat local. Sintaxa diferă de nginx, iar o greșeală de tipar în directiva de redirecționare duce la bucle infinite și la un consum ridicat de CPU. Testează întotdeauna configurația înainte de a reporni serviciul.
Certificatele MITM apar în discuție când cineva vrea să inspecteze traficul TLS care trece prin proxy. Un astfel de instrument instalează o autoritate de certificare proprie pe stațiile клиенților. Într-o rețea de birou este o practică legală doar cu informarea angajaților și cu politici scrise, iar în Uniunea Europeană, inclusiv în Republica Moldova prin legea protecției datelor, interceptarea fără bază legală creează riscuri serioase. Pe un server public nu are ce căuta: adaugă un punct de efracție și complică mentenanța.
Dacă totuși ai nevoie de inspecție pentru depanare, folosește un proxy de testare local, în rețeaua ta, cu certificatul instalat doar pe mașina ta, și șterge-l după investigație.
Un proxy invers administrat singur, pe un VPS unde ai control total, îți dă predictibilitate. Dar cere disciplină: actualizări de securitate lunare, un firewall care lasă deschise doar 22, 80 și 443, și un utilizator non-root pentru fiecare aplicație. În Moldova, un furnizor local îți oferă suport în română și facturare în lei, ceea ce simplifică evidența contabilă pentru un SRL.
Activează IPv6 dacă furnizorul îl oferă. Multe rețele mobile din țară livrează trafic preponderent pe IPv6, iar un server configurat doar pe IPv4 pierde din viteza percepută. Verifică apoi că nginx sau lighttpd ascultă pe ambele familii de adrese și că regula de redirecționare păstrează antetul corect pentru adresa reală a клиентулуй.
Ultima recomandare practică: documentează fiecare modificare în configurație. Un fișier simplu cu data, motivul și efectul schimbării valorează mai mult decât orice memorie personală atunci când, peste șase luni, un timeout reapare și nu îți amintești de ce ai setat 180 de secunde pe o singură rută.