Nginx Proxy Manager su un VPS: recensione e guida alla configurazione

NPM vs Caddy vs Traefik: quale reverse proxy fa al caso del tuo VPS

I tre strumenti si distinguono lungo quattro assi che determinano la scelta: come li configuri, come gestiscono l'HTTPS, come scalano con il numero di servizi e quanta RAM consumano a riposo. Ecco il confronto.

Le cifre della RAM a riposo sono osservazioni approssimative tratte da un confronto del 2026, non requisiti fissi. L'uso effettivo varia in base alla versione dell'immagine, alle funzionalità abilitate, al traffico e alla registrazione dei log.

I criteri di scelta discendono direttamente da quella tabella. Se vuoi una dashboard e gestisci una manciata di servizi che non cambiano spesso, NPM è lo strumento giusto. Se preferisci la configurazione come codice, vuoi l'ingombro minimo o apprezzi il provisioning e rinnovo HTTPS automatici di Caddy senza alcuna configurazione ACME, usa Caddy. Personalmente scelgo Caddy per le installazioni a singolo sito perché la gestione SSL è automatica e il Caddyfile è breve. Se aggiungi, rimuovi o reinstalli container di frequente, l'auto-discovery basato su label di Traefik ti permette di smettere di registrare a mano ogni nuovo host.

C'è anche Nginx nudo con Certbot, che alcuni amministratori preferiscono per un controllo preciso o per installazioni non basate su Docker. Certbot può automatizzare il rinnovo dei certificati, ma il routing dei virtual host e la configurazione di Nginx restano a tuo carico. Se il motivo principale per cui stai valutando NPM è evitare la configurazione manuale del proxy, è improbabile che Nginx nudo sia la scelta migliore.

Una nota sulla scelta: il confronto di byte-guard individua in Caddy l'opzione più leggera del confronto e, per una configurazione a host singolo nuova nel 2026, è una scelta ragionevole. Caddy vince per essere più leggero di NPM, ma se vuoi specificamente una GUI non è la soluzione migliore per te.

Per un confronto diretto più approfondito dei motori sottostanti, consulta il confronto tra Caddy e Nginx su un VPS.

Prerequisiti: cosa ti serve

Prima di installare, tieni pronte queste cose. È un elenco breve, ma se salti anche un solo elemento il passaggio del certificato fallirà più avanti.

• Un VPS con Docker e Docker Compose installati (vanno bene Ubuntu 22.04 LTS o Debian 12).
• Un nome di dominio, con un record DNS A (e AAAA se usi IPv6) che punti all'IP pubblico del tuo VPS.
• Accesso SSH al VPS.
• Porte 80 e 443 aperte a Internet nel tuo firewall.
• Porta 81 raggiungibile solo da te, non aperta al pubblico (trattata nella sezione sulla sicurezza).

Configurare Nginx Proxy Manager sul tuo VPS con Docker Compose

Questa sezione installa NPM usando Docker Compose. Una volta che i tuoi record DNS risolvono verso il VPS, la configurazione del container in sé è rapida, anche se la propagazione del DNS e l'emissione del certificato possono richiedere più tempo.

La configurazione usa un unico file Docker Compose e un comando una tantum per creare una rete Docker condivisa. Crea una directory, crea la rete, aggiungi il docker-compose.yml file qui sotto e avvia il container.

Per prima cosa, crea la rete Docker condivisa:

docker network create proxy

Poi crea il seguente docker-compose.yml file:

# docker-compose.yml
services:
  npm:
    image: 'jc21/nginx-proxy-manager:<PATCHED_VERSION>'
    restart: unless-stopped
    ports:
      - '80:80'                 # public HTTP
      - '443:443'               # public HTTPS
      - '127.0.0.1:81:81'       # admin UI, reachable only from the VPS itself
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt
    networks:
      - proxy
networks:
  proxy:
    external: true

Collega alla stessa rete esterna proxy ogni container di backend che NPM deve raggiungere tramite nome di servizio. Questo permette a NPM di risolvere il container tramite il suo nome di servizio senza pubblicare la porta dell'applicazione di backend sul VPS.

Esegui il backup sia di ./data e i piani ./letsencrypt prima degli aggiornamenti. La directory dei dati contiene il database di NPM e la configurazione generata, mentre la directory di Let's Encrypt contiene il materiale dei certificati.

Alcune note su questo file. L'immagine usa per impostazione predefinita un database SQLite memorizzato nel ./data volume. È il backend predefinito ed è corretto per la maggior parte delle installazioni su singolo VPS. Se hai bisogno di un database esterno, NPM supporta MariaDB/MySQL e PostgreSQL, il che significa aggiungere un servizio di database e le relative variabili d'ambiente. Per un singolo VPS, SQLite resta l'impostazione predefinita più semplice, a meno che tu non abbia un motivo chiaro per spostare il database fuori dal volume dei dati. La policy restart: unless-stopped fa sì che NPM si riavvii se il VPS viene riavviato, che è ciò che vuoi per un servizio che si trova davanti a tutto il resto.

Avvialo e verifica che sia in esecuzione:

docker compose up -d
docker compose ps

Output atteso: il container npm con stato Up, le porte 80 e 443 mappate pubblicamente e la porta 81 associata solo a 127.0.0.1. Il primo avvio richiede un paio di minuti mentre NPM genera una chiave JWT, inizializza il database e crea l'utente amministratore predefinito. La documentazione ufficiale di configurazione descrive questa sequenza di primo avvio.

Crea un tunnel SSH dal tuo computer locale prima di aprire l'interfaccia di amministrazione:

ssh -L 8181:127.0.0.1:81 user@your-vps

Poi apri http://127.0.0.1:8181 nel tuo browser. In un'installazione nuova, accedi con [email protected] e i piani changeme, poi sostituisci immediatamente l'email e la password predefinite. Non rendere la dashboard raggiungibile pubblicamente finché le credenziali predefinite sono attive.

Una volta cambiate le credenziali dell'amministratore, aggiungi il tuo primo proxy host:

1. Nella dashboard, vai su Hosts, poi Proxy Hosts, poi Add Proxy Host.
2. Imposta Domain Name sul tuo sottodominio (ad esempio cloud.example.com).
3. Imposta Forward Hostname / IP sul nome o sull'IP del container di backend, e Forward Port sulla porta su cui è in ascolto.
4. Salva. Il proxy host compare nell'elenco e il traffico verso quel sottodominio ora raggiunge il tuo container.

Se accanto a questo esegui un'interfaccia di gestione Docker, vale lo stesso schema: fai puntare un sottodominio allo strumento di gestione dei container nello stesso modo, e fai lo stesso per un stack di monitoraggio Prometheus e Grafana che vuoi collocare dietro il proxy.

Configurare l'HTTPS automatico per un sottodominio

Questa sezione ti fornisce un certificato Let's Encrypt valido e a rinnovo automatico per il tuo sottodominio. Il prerequisito è quello che coglie molti di sorpresa: il record DNS A di quel sottodominio deve già puntare al tuo VPS e la porta 80 deve essere raggiungibile da Internet, perché Let's Encrypt verifica il dominio connettendosi ad esso.

Creato il proxy host, richiedi il certificato:

1. Modifica il proxy host, apri la SSL scheda.
2. Sotto Certificato SSL, scegli Request a new SSL Certificate.
3. Abilita Force SSL e i piani HTTP/2 Support. Attiva HSTS solo dopo aver confermato che l'HTTPS funziona correttamente, perché i browser possono memorizzare in cache la policy e rendere più difficile il ripristino da un errore di certificato o di configurazione del proxy.
4. Accetta i termini di Let's Encrypt e salva.

Per impostazione predefinita, NPM usa la sfida HTTP-01 per i nomi non wildcard, convalidando ogni hostname richiesto sulla porta 80. Un certificato può contenere più nomi non wildcard, ma HTTP-01 non può emettere certificati wildcard. I nomi wildcard come *.example.com richiedono la sfida DNS-01 con un provider DNS supportato. Per una normale configurazione con un sottodominio per servizio, HTTP-01 è tutto ciò che ti serve e i rinnovi sono automatici.

Dimensionare il tuo VPS per Nginx Proxy Manager

NPM di per sé è leggero; la questione del dimensionamento riguarda in realtà NPM più i servizi che stanno dietro di esso. L'ingombro a riposo del proxy è raramente il vincolo. Un'istanza Nextcloud o un blog Ghost useranno più risorse del proxy stesso.

Ecco come si articolano in pratica i vari livelli:

• Base pratica minima: 1 GB RAM, 1 vCPU e 10 GB di storage. Uno guida al dimensionamento di terze parti usa la stessa base, ma trattala come indicazione di pianificazione anziché come requisito ufficiale di NPM. È sufficiente per NPM, il sistema operativo e alcuni servizi leggeri, ma lascia un margine limitato.
• Comodo: 2 GB RAM, 1 vCPU, 20 GB di storage. NPM più da tre a cinque servizi con spazio per respirare. È il punto ideale per la maggior parte dei self-hoster.
• Livello superiore: 4 GB RAM, 2 vCPU. Per un numero di servizi da otto a dodici, o una configurazione con traffico significativo in cui vuoi un margine di CPU per la terminazione TLS.

Il numero su cui dimensionare è la somma delle app proxate, non NPM. Somma gli ingombri di RAM dei servizi che intendi eseguire, aggiungi sopra il piccolo overhead a riposo del proxy e scegli con margine il livello superiore a quel valore.

Dimensionare il server è la parte facile. Mettere in funzione NPM richiede comunque il provisioning del VPS, l'installazione di Docker, il download dell'immagine e il passaggio attraverso quella configurazione di primo avvio. Se preferisci saltare i passaggi di provisioning, il marketplace di Cloudzy offre un'installazione a un clic di Nginx Proxy Manager su un VPS NVMe. Avvia il container su un server nuovo, così vai dritto alla dashboard e al tuo primo proxy host. In ogni caso, i livelli di dimensionamento indicati sopra sono ciò su cui effettuare il provisioning.

Domande frequenti