在 VPS 上使用 Nginx Proxy Manager：评测与部署指南

NPM、Caddy 与 Traefik 对比：哪个反向代理适合你的 VPS

这三款工具在四个决定选择的维度上各不相同：如何配置、如何处理 HTTPS、如何随服务数量扩展，以及空闲时占用多少内存。以下是对比。

空闲内存数据是来自 某项 2026 年对比的近似观测值，而非固定要求。实际占用会因镜像版本、启用的功能、流量和日志而异。

选择标准可直接从上表推导出来。如果你想要一个管理面板，且运行的是少数几个不常变动的服务，NPM 就是合适的工具。如果你偏好配置即代码、想要最小的占用，或欣赏 Caddy 的 无需任何 ACME 配置即可自动签发和续期 HTTPS，那就用 Caddy。在单站点部署中我自己就会选 Caddy，因为 SSL 处理是自动的，Caddyfile 也很简短。如果你频繁地添加、移除或重新部署容器，Traefik 基于标签的自动发现意味着你不必再手动注册每一个新主机。

还有搭配 Certbot 的裸 Nginx，一些管理员出于精确控制或非 Docker 部署的考虑更偏好它。Certbot 可以自动完成证书续期，但虚拟主机路由和 Nginx 配置仍需你自己管理。如果你考虑 NPM 的主要原因是想避免手动配置代理，那么裸 Nginx 不太可能是更合适的选择。

关于选择还有一点说明：byte-guard 的对比得出 Caddy 是该对比中最轻量的选项，对于 2026 年全新的单主机配置来说，这是一个合理的选择。Caddy 胜在比 NPM 更轻量，但如果你明确想要图形界面，它就不是你的最佳选择。

如需对底层引擎做更深入的并排对比，请参见 在 VPS 上 Caddy 与 Nginx 的对比.

先决条件：你会需要什么

部署之前，请先准备好以下这些。清单不长，但只要漏掉任何一项，后面的证书步骤就会失败。

• 一台已安装 Docker 和 Docker Compose 的 VPS （Ubuntu 22.04 LTS 或 Debian 12 均可）。
• 一个域名，并配有 DNS A 记录 （如果你使用 IPv6，还需 AAAA 记录）指向你的 VPS 公网 IP。
• 对该 VPS 的 SSH 访问权限。
• 在你的防火墙上向互联网开放 80 和 443 端口。
• 81 端口仅你自己可访问，不对公众开放（安全章节会讲到）。

使用 Docker Compose 在你的 VPS 上部署 Nginx Proxy Manager

本节使用 Docker Compose 部署 NPM。一旦你的 DNS 记录解析到该 VPS，容器本身的搭建就很快，不过 DNS 传播和证书签发可能需要更长时间。

该配置使用一个 Docker Compose 文件，以及一条一次性命令来创建共享的 Docker 网络。创建一个目录，创建该网络，添加下面的 docker-compose.yml 文件，然后启动容器。

首先，创建共享的 Docker 网络：

docker network create proxy

然后创建以下 docker-compose.yml 文件：

# docker-compose.yml
services:
  npm:
    image: 'jc21/nginx-proxy-manager:<PATCHED_VERSION>'
    restart: unless-stopped
    ports:
      - '80:80'                 # public HTTP
      - '443:443'               # public HTTPS
      - '127.0.0.1:81:81'       # admin UI, reachable only from the VPS itself
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt
    networks:
      - proxy
networks:
  proxy:
    external: true

将 NPM 必须通过服务名访问的每一个后端容器，都接入同一个外部 proxy 网络。这样 NPM 就能通过服务名解析到容器，而无需在 VPS 上发布后端应用的端口。

在升级前，请同时备份 ./data 和 ./letsencrypt 两者。数据目录包含 NPM 的数据库和生成的配置，而 Let's Encrypt 目录包含其证书材料。

关于这个文件有几点说明。该镜像默认使用一个 SQLite 数据库，保存在 ./data 卷中。这是默认的后端存储，对大多数单 VPS 部署来说是正确的。如果你需要外部数据库，NPM 支持 MariaDB/MySQL 和 PostgreSQL，这意味着要额外添加一个数据库服务和相应的环境变量。对于单台 VPS，除非你有明确理由把数据库移出数据卷，否则 SQLite 仍是最简单的默认选择。 restart: unless-stopped 策略意味着 VPS 重启后 NPM 会自动恢复运行，对于一个位于所有服务最前端的服务来说，这正是你想要的。

启动它并确认其正在运行：

docker compose up -d
docker compose ps

预期输出： npm 容器处于状态 Up，80 和 443 端口映射到公网，而 81 端口仅绑定到 127.0.0.1。首次启动会花上几分钟，其间 NPM 会生成 JWT 密钥、初始化数据库并创建默认管理员用户。 官方安装文档 描述了这一首次运行的流程。

在打开管理界面之前，先从你的本地电脑创建一条 SSH 隧道：

ssh -L 8181:127.0.0.1:81 user@your-vps

然后打开 http://127.0.0.1:8181 在浏览器中访问。全新安装时，使用以下凭据登录： [email protected] 和 changeme，然后立即替换默认的邮箱和密码。在默认凭据仍然有效时，切勿让管理面板可被公网访问。

修改管理员凭据后，添加你的第一个代理主机：

1. 在管理面板中，前往 Hosts，然后 Proxy Hosts，然后 Add Proxy Host.
2. 设置 Domain Name 设为你的子域名（例如 cloud.example.com).
3. 设置 Forward Hostname / IP 设为后端容器名或 IP，并将 Forward Port 设为它所监听的端口。
4. 保存。该代理主机会出现在列表中，此后发往该子域名的流量便会到达你的容器。

如果你同时还运行着一个 Docker 管理界面，同样的方式也适用：用相同办法把一个子域名指向该容器管理工具，对于你想放在代理之后的 Prometheus 和 Grafana 监控栈 也照此办理。

为子域名配置自动 HTTPS

本节将为你的子域名申请一张有效且能自动续期的 Let's Encrypt 证书。有一个前提最容易被人忽略：该子域名的 DNS A 记录必须已经指向你的 VPS，而且 80 端口必须能从互联网访问，因为 Let's Encrypt 会通过回连该域名来验证它。

在代理主机创建好之后，申请证书：

1. 编辑该代理主机，打开 SSL 标签页
2. 在...下面 SSL证书选择 申请一张新的 SSL 证书.
3. 启用 强制 SSL（Force SSL） 和 HTTP/2 支持。只有在确认 HTTPS 正常工作之后才开启 HSTS，因为浏览器会缓存该策略，从而使证书或代理配置出错后的恢复变得更加困难。
4. 同意 Let's Encrypt 条款并保存。

默认情况下，NPM 对非通配符名称使用 HTTP-01 挑战，通过 80 端口验证每个请求的主机名。一张证书可以包含多个非通配符名称，但 HTTP-01 无法签发通配符证书。诸如 *.example.com 这样的通配符名称需要配合受支持的 DNS 服务商使用 DNS-01 挑战。对于常见的每个服务一个子域名的配置，HTTP-01 就够了，而且续期是自动的。

为 Nginx Proxy Manager 选择 VPS 规格

NPM 本身很轻量；规格问题其实关乎的是 NPM 加上它后面各项服务的总和。代理的空闲占用很少成为瓶颈。一个 Nextcloud 实例或 Ghost 博客所用的资源，都会超过代理本身。

以下是各档规格在实际中的表现：

• 实际可用的最低底线：1 GB RAM、1 vCPU 和 10 GB 存储。 一 第三方规格选型指南 采用了相同的底线，但请把它当作规划参考，而非 NPM 的官方要求。它足以运行 NPM、操作系统和少数几个轻量服务，但留出的余量有限。
• 较为从容：2 GB RAM、1 vCPU、20 GB 存储。 NPM 加上三到五个服务，还有喘息空间。对大多数自托管用户来说，这是最合适的甜蜜点。
• 进阶：4 GB RAM、2 vCPU。 适用于八到十二个服务，或有一定流量、你希望为 TLS 终结留出 CPU 余量的配置。

你要据以选型的数字，是被代理各应用的总和，而非 NPM。把你打算运行的各服务的内存占用加起来，再加上代理那一点小小的空闲开销，然后在此基础上留有余量地挑选上面某一档。

给机器选规格是简单的部分。真正让 NPM 跑起来，仍然意味着开通 VPS、安装 Docker、拉取镜像，并走一遍首次运行的配置流程。如果你更愿意跳过这些开通步骤，Cloudzy 的应用市场提供一键 Nginx Proxy Manager 部署 ，运行在 NVMe VPS 上。它会在一台全新服务器上把容器搭建好，你便可直接进入管理面板并创建第一个代理主机。无论采用哪种方式，上面的规格档次都是你选型的依据。

常见问题