Nginx Proxy Manager em um VPS: Uma Análise e Guia de Configuração

NPM vs Caddy vs Traefik: Qual Proxy Reverso Se Encaixa no Seu VPS

As três ferramentas se dividem em quatro eixos que decidem a escolha: como você as configura, como lidam com HTTPS, como escalam conforme o número de serviços e quanta RAM consomem em repouso. Aqui está a comparação.

Os números de RAM em repouso são observações aproximadas de uma comparação de 2026, não requisitos fixos. O uso real varia conforme a versão da imagem, os recursos habilitados, o tráfego e o registro de logs.

Os critérios de migração decorrem diretamente dessa tabela. Se você quer um painel e roda um punhado de serviços que não mudam com frequência, o NPM é a ferramenta certa. Se você prefere configuração como código, quer a menor pegada ou aprecia o provisionamento e renovação de HTTPS automáticos do Caddy sem nenhuma configuração de ACME, use o Caddy. Eu mesmo recorro ao Caddy em implantações de site único porque o tratamento de SSL é automático e o Caddyfile é curto. Se você adiciona, remove ou reimplanta contêineres com frequência, a autodescoberta baseada em labels do Traefik faz com que você pare de registrar manualmente cada novo host.

Há também o Nginx puro com o Certbot, que alguns administradores preferem para controle preciso ou implantações sem Docker. O Certbot pode automatizar a renovação de certificados, mas você ainda gerencia o roteamento de virtual hosts e a configuração do Nginx por conta própria. Se o seu principal motivo para considerar o NPM é evitar a configuração manual de proxy, o Nginx puro provavelmente não será a melhor opção.

Uma observação sobre a escolha: a comparação da byte-guard aponta o Caddy como a opção mais leve daquela comparação, e para uma nova configuração de host único em 2026 essa é uma escolha razoável. O Caddy vence por ser mais leve que o NPM, mas se você quer especificamente uma GUI, ele não é a sua melhor aposta.

Para um comparativo mais aprofundado dos motores subjacentes, consulte a comparação Caddy vs Nginx em um VPS.

Pré-requisitos: o que vais precisar

Antes de implantar, tenha estes itens prontos. Esta é uma lista curta, mas pule qualquer item e a etapa do certificado falhará mais adiante.

• Um VPS com Docker e Docker Compose instalados (Ubuntu 22.04 LTS ou Debian 12 serve).
• Um nome de domínio, com um registro DNS A (e AAAA se você usa IPv6) apontando para o IP público do seu VPS.
• Acesso SSH ao VPS.
• Portas 80 e 443 abertas para a internet no seu firewall.
• Porta 81 acessível apenas por você, não aberta ao público (abordada na seção de segurança).

Configurando o Nginx Proxy Manager no Seu VPS com Docker Compose

Esta seção implanta o NPM usando Docker Compose. Depois que seus registros DNS resolvem para o VPS, a configuração do contêiner em si é rápida, embora a propagação do DNS e a emissão do certificado possam demorar mais.

A configuração usa um arquivo Docker Compose e um comando único para criar uma rede Docker compartilhada. Crie um diretório, crie a rede, adicione o docker-compose.yml arquivo abaixo e suba o contêiner.

Primeiro, crie a rede Docker compartilhada:

docker network create proxy

Em seguida, crie o seguinte docker-compose.yml arquivo:

# docker-compose.yml
services:
  npm:
    image: 'jc21/nginx-proxy-manager:<PATCHED_VERSION>'
    restart: unless-stopped
    ports:
      - '80:80'                 # public HTTP
      - '443:443'               # public HTTPS
      - '127.0.0.1:81:81'       # admin UI, reachable only from the VPS itself
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt
    networks:
      - proxy
networks:
  proxy:
    external: true

Conecte todo contêiner de backend que o NPM precisa alcançar pelo nome de serviço à mesma rede proxy externa. Isso permite que o NPM resolva o contêiner pelo seu nome de serviço sem publicar a porta da aplicação de backend no VPS.

Faça backup de ambos os ./data e ./letsencrypt antes das atualizações. O diretório de dados contém o banco de dados e a configuração gerada do NPM, enquanto o diretório Let's Encrypt contém o material de certificados.

Algumas observações sobre este arquivo. A imagem usa por padrão um banco de dados SQLite armazenado no ./data volume. Esse é o backend padrão e é adequado para a maioria das implantações em um único VPS. Se você precisar de um banco de dados externo, o NPM suporta MariaDB/MySQL e PostgreSQL, o que significa adicionar um serviço de banco de dados e as variáveis de ambiente correspondentes. Para um único VPS, o SQLite ainda é o padrão mais simples, a menos que você tenha um motivo claro para mover o banco de dados para fora do volume de dados. A restart: unless-stopped política significa que o NPM sobe novamente se o VPS reiniciar, que é o que você quer para um serviço que fica à frente de todo o resto.

Suba-o e confirme que está em execução:

docker compose up -d
docker compose ps

Saída esperada: o contêiner npm com estado Up, portas 80 e 443 mapeadas publicamente e porta 81 vinculada apenas a 127.0.0.1. A primeira inicialização leva alguns minutos enquanto o NPM gera uma chave JWT, inicializa o banco de dados e cria o usuário administrador padrão. A documentação oficial de configuração descreve essa sequência de primeira execução.

Crie um túnel SSH a partir do seu computador local antes de abrir a interface de administração:

ssh -L 8181:127.0.0.1:81 user@your-vps

Em seguida, abra http://127.0.0.1:8181 no seu navegador. Em uma instalação nova, entre com [email protected] e changeme, e em seguida substitua imediatamente o e-mail e a senha padrão. Não torne o painel acessível publicamente enquanto as credenciais padrão estiverem ativas.

Depois de alterar as credenciais de administrador, adicione seu primeiro proxy host:

1. No painel, vá até Hosts, depois Proxy Hosts, depois Add Proxy Host.
2. Defina o Domain Name para o seu subdomínio (por exemplo cloud.example.com).
3. Definir Forward Hostname / IP para o nome ou IP do contêiner de backend, e Forward Port para a porta em que ele escuta.
4. Salve. O proxy host aparece na lista e o tráfego para esse subdomínio agora chega ao seu contêiner.

Se você roda uma interface de gerenciamento do Docker junto com isso, o mesmo padrão se aplica: aponte um subdomínio para a ferramenta de gerenciamento de contêineres da mesma forma, e faça o mesmo para um pilha de monitoramento com Prometheus e Grafana que você queira colocar atrás do proxy.

Configurando HTTPS Automático para um Subdomínio

Esta seção lhe dá um certificado Let's Encrypt válido e com renovação automática para o seu subdomínio. O pré-requisito é aquele que pega as pessoas: o registro DNS A desse subdomínio já precisa apontar para o seu VPS, e a porta 80 precisa ser acessível pela internet, porque o Let's Encrypt verifica o domínio se conectando de volta a ele.

Com o proxy host criado, solicite o certificado:

1. Edite o proxy host, abra a SSL aba.
2. Sob Certificado SSL, escolha Request a new SSL Certificate.
3. Ativar Force SSL e HTTP/2 Support. Ative o HSTS somente depois de confirmar que o HTTPS funciona corretamente, porque os navegadores podem armazenar a política em cache e tornar a recuperação de um erro de certificado ou de configuração de proxy mais difícil.
4. Concorde com os termos do Let's Encrypt e salve.

Por padrão, o NPM usa o desafio HTTP-01 para nomes não curinga, validando cada hostname solicitado pela porta 80. Um certificado pode conter vários nomes não curinga, mas o HTTP-01 não pode emitir certificados curinga. Nomes curinga como *.example.com exigem o desafio DNS-01 com um provedor de DNS suportado. Para uma configuração normal de um subdomínio por serviço, o HTTP-01 é tudo o que você precisa, e as renovações são automáticas.

Dimensionando o Seu VPS para o Nginx Proxy Manager

O NPM em si é leve; a questão do dimensionamento é, na verdade, sobre o NPM mais os serviços que ficam atrás dele. A pegada em repouso do proxy raramente é a restrição. Uma instância do Nextcloud ou um blog Ghost usará mais recursos do que o próprio proxy.

Veja como os níveis funcionam na prática:

• Base prática mínima: 1 GB RAM, 1 vCPU e 10 GB de armazenamento. Um guia de dimensionamento de terceiros usa a mesma base, mas trate-a como orientação de planejamento, e não como um requisito oficial do NPM. É suficiente para o NPM, o sistema operacional e alguns serviços leves, mas deixa pouca folga.
• Confortável: 2 GB RAM, 1 vCPU, 20 GB de armazenamento. O NPM mais três a cinco serviços com espaço para respirar. Este é o ponto ideal para a maioria de quem faz auto-hospedagem.
• Um passo acima: 4 GB RAM, 2 vCPU. Para oito a doze serviços, ou uma configuração com tráfego significativo onde você quer folga de CPU para o encerramento de TLS.

O número contra o qual você dimensiona é a soma dos apps atrás do proxy, não o NPM. Some as pegadas de RAM dos serviços que você pretende rodar, acrescente a pequena sobrecarga em repouso do proxy por cima e escolha o nível acima disso com margem.

Dimensionar o servidor é a parte fácil. Colocar o NPM em execução ainda significa provisionar o VPS, instalar o Docker, baixar a imagem e passar por aquela configuração de primeira execução. Se você preferir pular as etapas de provisionamento, o marketplace da Cloudzy tem uma implantação de um clique do Nginx Proxy Manager em um VPS NVMe. Ela sobe o contêiner em um servidor novo, então você vai direto ao painel e ao seu primeiro proxy host. De qualquer forma, os níveis de dimensionamento acima são a base do seu provisionamento.

Perguntas frequentes