Nginx Proxy Manager trên VPS: Đánh giá và hướng dẫn thiết lập

NPM vs Caddy vs Traefik: Reverse Proxy nào phù hợp với VPS của bạn

Ba công cụ phân hóa theo bốn trục quyết định lựa chọn: cách bạn cấu hình chúng, cách chúng xử lý HTTPS, cách chúng mở rộng theo số lượng dịch vụ, và lượng RAM chúng chiếm khi rảnh. Dưới đây là bảng so sánh.

Các số liệu RAM khi rảnh là quan sát gần đúng từ một bài so sánh năm 2026, không phải yêu cầu cố định. Mức sử dụng thực tế thay đổi tùy theo phiên bản image, các tính năng được bật, lưu lượng và việc ghi log.

Các tiêu chí chuyển đổi bắt nguồn trực tiếp từ bảng đó. Nếu bạn muốn một bảng điều khiển và chạy một số ít dịch vụ ít thay đổi, NPM là công cụ phù hợp. Nếu bạn ưa cấu hình dạng mã, muốn mức chiếm dụng nhỏ nhất, hoặc đánh giá cao khả năng cấp phát và gia hạn HTTPS tự động mà không cần thiết lập ACME của Caddy, hãy dùng Caddy. Bản thân tôi chọn Caddy cho các triển khai một trang web vì việc xử lý SSL là tự động và Caddyfile thì ngắn gọn. Nếu bạn thường xuyên thêm, xóa, hoặc triển khai lại container, khả năng tự động khám phá dựa trên label của Traefik có nghĩa là bạn không còn phải đăng ký tay từng host mới.

Còn có cả Nginx thuần với Certbot, mà một số quản trị viên ưa chuộng vì khả năng kiểm soát chính xác hoặc cho các triển khai không dùng Docker. Certbot có thể tự động hóa việc gia hạn chứng chỉ, nhưng bạn vẫn tự quản lý việc định tuyến virtual-host và cấu hình Nginx. Nếu lý do chính bạn cân nhắc NPM là để tránh cấu hình proxy thủ công, thì Nginx thuần khó có khả năng là lựa chọn phù hợp hơn.

Một lưu ý về lựa chọn: bài so sánh của byte-guard kết luận Caddy là tùy chọn nhẹ nhất trong bài so sánh đó, và với một thiết lập một-host mới trong năm 2026 thì đó là một lựa chọn hợp lý. Caddy thắng ở chỗ nhẹ hơn NPM, nhưng nếu bạn thực sự muốn một GUI, thì nó không phải lựa chọn tốt nhất cho bạn.

Để có một bảng so sánh trực tiếp sâu hơn về các engine bên dưới, hãy xem bài so sánh Caddy vs Nginx trên VPS.

Điều kiện tiên quyết: những gì bạn sẽ cần

Trước khi triển khai, hãy chuẩn bị sẵn những thứ sau. Đây là một danh sách ngắn, nhưng nếu bỏ sót bất kỳ mục nào thì bước cấp chứng chỉ sẽ thất bại về sau.

• Một VPS với Docker và Docker Compose đã được cài đặt (Ubuntu 22.04 LTS hoặc Debian 12 đều được).
• Một tên miền, với một bản ghi DNS A (và AAAA nếu bạn dùng IPv6) trỏ về IP công khai của VPS.
• Quyền truy cập SSH vào VPS.
• Các cổng 80 và 443 mở ra internet trên tường lửa của bạn.
• Cổng 81 chỉ mình bạn truy cập được, không mở cho công chúng (được đề cập trong phần bảo mật).

Thiết lập Nginx Proxy Manager trên VPS của bạn với Docker Compose

Phần này triển khai NPM bằng Docker Compose. Một khi các bản ghi DNS của bạn phân giải về VPS, bản thân việc thiết lập container diễn ra nhanh, mặc dù việc lan truyền DNS và cấp chứng chỉ có thể mất nhiều thời gian hơn.

Thiết lập này dùng một file Docker Compose và một lệnh chạy một lần để tạo một mạng Docker dùng chung. Hãy tạo một thư mục, tạo mạng, thêm file docker-compose.yml bên dưới, và khởi động container.

Đầu tiên, hãy tạo mạng Docker dùng chung:

docker network create proxy

Sau đó tạo file docker-compose.yml tệp:

# docker-compose.yml
services:
  npm:
    image: 'jc21/nginx-proxy-manager:<PATCHED_VERSION>'
    restart: unless-stopped
    ports:
      - '80:80'                 # public HTTP
      - '443:443'               # public HTTPS
      - '127.0.0.1:81:81'       # admin UI, reachable only from the VPS itself
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt
    networks:
      - proxy
networks:
  proxy:
    external: true

Hãy gắn mọi container backend mà NPM cần tiếp cận theo tên dịch vụ vào cùng một mạng external proxy . Điều này cho phép NPM phân giải container theo tên dịch vụ của nó mà không cần publish cổng của ứng dụng backend trên VPS.

Hãy sao lưu cả hai ./data và ./letsencrypt trước khi nâng cấp. Thư mục dữ liệu chứa cơ sở dữ liệu và cấu hình được tạo tự động của NPM, trong khi thư mục Let's Encrypt chứa vật liệu chứng chỉ của nó.

Vài điều về file này. Image mặc định dùng một cơ sở dữ liệu SQLite được lưu trong ./data volume. Đó là backend mặc định và nó phù hợp với hầu hết các triển khai một-VPS. Nếu bạn cần một cơ sở dữ liệu bên ngoài, NPM hỗ trợ MariaDB/MySQL và PostgreSQL, nghĩa là thêm một dịch vụ cơ sở dữ liệu và các biến môi trường tương ứng. Với một VPS đơn lẻ, SQLite vẫn là mặc định đơn giản nhất trừ khi bạn có lý do rõ ràng để chuyển cơ sở dữ liệu ra khỏi volume dữ liệu. Chính sách restart: unless-stopped có nghĩa là NPM sẽ tự khởi động lại nếu VPS khởi động lại, đó là điều bạn muốn cho một dịch vụ đứng trước mọi thứ khác.

Khởi động nó và xác nhận nó đang chạy:

docker compose up -d
docker compose ps

Kết quả kỳ vọng: container npm với trạng thái Up, các cổng 80 và 443 được ánh xạ công khai, và cổng 81 chỉ bind vào 127.0.0.1. Lần khởi động đầu tiên mất vài phút trong khi NPM tạo một khóa JWT, khởi tạo cơ sở dữ liệu, và tạo người dùng admin mặc định. Tài liệu thiết lập chính thức mô tả trình tự chạy lần đầu này.

Hãy tạo một SSH tunnel từ máy tính cục bộ của bạn trước khi mở giao diện quản trị:

ssh -L 8181:127.0.0.1:81 user@your-vps

Sau đó mở http://127.0.0.1:8181 trong trình duyệt của bạn. Trên một bản cài đặt mới, hãy đăng nhập bằng [email protected] và changeme, rồi ngay lập tức thay email và mật khẩu mặc định. Đừng để bảng điều khiển có thể truy cập công khai khi thông tin đăng nhập mặc định còn hiệu lực.

Một khi bạn đã đổi thông tin đăng nhập admin, hãy thêm proxy host đầu tiên của bạn:

1. Trong bảng điều khiển, đi tới Hosts, rồi Proxy Hosts, rồi Add Proxy Host.
2. Đặt Domain Name thành subdomain của bạn (ví dụ cloud.example.com).
3. Đặt Forward Hostname / IP thành tên container hoặc IP của backend, và Forward Port thành cổng mà nó lắng nghe.
4. Lưu lại. Proxy host xuất hiện trong danh sách, và lưu lượng đến subdomain đó giờ đây đến được container của bạn.

Nếu bạn chạy một giao diện quản lý Docker song song với cái này, cùng một mẫu áp dụng: trỏ một subdomain đến công cụ quản lý container theo cùng cách đó, và làm tương tự cho một stack giám sát Prometheus và Grafana mà bạn muốn đặt phía sau proxy.

Cấu hình HTTPS tự động cho một subdomain

Phần này giúp bạn có một chứng chỉ Let's Encrypt hợp lệ, tự động gia hạn cho subdomain của bạn. Điều kiện tiên quyết là thứ khiến người ta hay vấp: bản ghi DNS A cho subdomain đó phải đã trỏ về VPS của bạn, và cổng 80 phải truy cập được từ internet, vì Let's Encrypt xác minh tên miền bằng cách kết nối ngược lại nó.

Sau khi đã tạo proxy host, hãy yêu cầu chứng chỉ:

1. Chỉnh sửa proxy host, mở tab SSL Thẻ tab
2. Dưới Chứng chỉ SSLchọn Request a new SSL Certificate.
3. Bật Force SSL và HTTP/2 Support. Chỉ bật HSTS sau khi đã xác nhận rằng HTTPS hoạt động đúng, vì các trình duyệt có thể lưu cache chính sách này và khiến việc khắc phục một sai sót về chứng chỉ hoặc cấu hình proxy trở nên khó khăn hơn.
4. Đồng ý với các điều khoản của Let's Encrypt và lưu lại.

Mặc định, NPM dùng thử thách HTTP-01 cho các tên không phải wildcard, xác thực từng hostname được yêu cầu qua cổng 80. Một chứng chỉ có thể chứa nhiều tên không phải wildcard, nhưng HTTP-01 không thể cấp chứng chỉ wildcard. Các tên wildcard như *.example.com yêu cầu thử thách DNS-01 với một nhà cung cấp DNS được hỗ trợ. Với một thiết lập thông thường một-subdomain-cho-mỗi-dịch-vụ, HTTP-01 là tất cả những gì bạn cần, và việc gia hạn diễn ra tự động.

Chọn cấu hình VPS cho Nginx Proxy Manager

Bản thân NPM nhẹ; câu hỏi về cấu hình thực ra là về NPM cộng với các dịch vụ đứng phía sau nó. Mức chiếm dụng khi rảnh của proxy hiếm khi là điểm nghẽn. Một phiên bản Nextcloud hoặc blog Ghost sẽ dùng nhiều tài nguyên hơn bản thân proxy.

Đây là cách các mức cấu hình phát huy trong thực tế:

• Mức cơ sở thực tế tối thiểu: 1 GB RAM, 1 vCPU, và 10 GB dung lượng lưu trữ. Một hướng dẫn chọn cấu hình của bên thứ ba dùng cùng mức cơ sở này, nhưng hãy xem nó như hướng dẫn lập kế hoạch chứ không phải một yêu cầu chính thức của NPM. Nó đủ cho NPM, hệ điều hành, và một vài dịch vụ nhẹ, nhưng để lại ít dư địa.
• Thoải mái: 2 GB RAM, 1 vCPU, 20 GB dung lượng lưu trữ. NPM cộng với ba đến năm dịch vụ với chỗ để thở. Đây là điểm ngọt cho hầu hết những người tự lưu trữ.
• Nâng cấp: 4 GB RAM, 2 vCPU. Cho tám đến mười hai dịch vụ, hoặc một thiết lập có lưu lượng đáng kể nơi bạn muốn có dư địa CPU cho việc kết thúc TLS.

Con số bạn dựa vào để chọn cấu hình là tổng của các ứng dụng được proxy, không phải NPM. Hãy cộng dồn mức RAM của các dịch vụ bạn định chạy, cộng thêm phần chiếm dụng khi rảnh nhỏ của proxy lên trên, và chọn mức cấu hình cao hơn con số đó với một chút biên độ dự phòng.

Chọn cấu hình cho máy là phần dễ. Để NPM chạy được vẫn có nghĩa là cấp phát VPS, cài đặt Docker, kéo image, và trải qua quá trình thiết lập lần đầu đó. Nếu bạn muốn bỏ qua các bước cấp phát, marketplace của Cloudzy có một bản triển khai Nginx Proxy Manager một cú nhấp trên một VPS NVMe. Nó dựng container lên trên một máy chủ mới, để bạn đi thẳng đến bảng điều khiển và proxy host đầu tiên của mình. Dù bằng cách nào, các mức cấu hình ở trên là những gì bạn dựa vào để cấp phát.

Câu hỏi thường gặp