Reverse Proxy e HTTPS in Casa con Nginx Proxy Manager

Più cresce il tuo homelab, più diventa un labirinto di indirizzi e porte da ricordare: il NAS su una porta, il media server su un’altra, la dashboard di gestione su una terza, tutto rigorosamente in HTTP senza il lucchetto verde. Ogni volta digiti un indirizzo IP seguito da due punti e un numero, e ogni nuovo servizio aggiunge confusione. Esiste un modo molto più elegante di gestire tutto questo: un reverse proxy.

Con un reverse proxy crei un unico punto d’ingresso per tutti i tuoi servizi, raggiungibili tramite nomi a dominio leggibili e protetti da certificati HTTPS automatici. In questa guida vediamo come funziona, perché evita di esporre ogni porta e come Nginx Proxy Manager rende il tutto accessibile anche senza essere esperti di configurazioni Nginx a mano.

Cos’è un reverse proxy e perché ti serve

Un reverse proxy è un servizio che si mette davanti agli altri e smista le richieste in arrivo verso il servizio giusto, in base al nome a dominio richiesto. Invece di raggiungere ogni applicazione sulla sua porta, contatti sempre il proxy sulla porta standard del web, e lui decide a chi inoltrare la richiesta. Da fuori esiste un solo indirizzo; dietro, decine di servizi.

Il guadagno è duplice. Da un lato la comodità: scrivi nas.casa.lan invece di ricordare indirizzi IP e numeri di porta. Dall’altro la sicurezza e l’ordine: un solo punto da proteggere e monitorare, invece di una costellazione di servizi sparsi. Il proxy diventa anche il luogo naturale dove gestire la cifratura, applicando l’HTTPS a tutti i servizi in un colpo solo.

Nomi a dominio interni al posto di IP e porte

Il primo beneficio concreto sono i nomi a dominio interni. Configurando il DNS della tua rete — sul router, su un Pi-hole o su pfSense — puoi far risolvere nomi come media.casa.lan o dashboard.casa.lan verso l’indirizzo del reverse proxy. Il proxy, leggendo il nome richiesto, sa esattamente a quale servizio inoltrare la connessione.

Questo trasforma l’esperienza d’uso. I segnalibri diventano leggibili, i servizi acquistano un’identità chiara, e quando aggiungi una nuova applicazione basta creare un nuovo nome senza dover memorizzare l’ennesima porta. È un livello di organizzazione che, una volta provato, rende impensabile tornare indietro.

Certificati Let’s Encrypt automatici

Il cuore della parte sicurezza è l’HTTPS. Senza cifratura, le credenziali e i dati che scambi con i tuoi servizi viaggiano in chiaro sulla rete locale, e i browser moderni mostrano avvisi continui sulle connessioni non sicure. Un reverse proxy risolve il problema centralizzando la gestione dei certificati TLS.

Nginx Proxy Manager si integra con Let’s Encrypt, l’autorità di certificazione gratuita, e può richiedere e rinnovare i certificati in modo automatico. Per i servizi interni si usa tipicamente la validazione DNS, che permette di ottenere certificati validi anche per nomi non esposti su Internet, senza dover aprire porte. Una volta configurato, il sistema rinnova i certificati da solo prima della scadenza: ottieni il lucchetto verde su ogni servizio e non ci pensi più.

Perché evitare di esporre ogni porta

Il punto più importante è anche quello di sicurezza. Senza reverse proxy, la tentazione di rendere raggiungibile un servizio è aprire la sua porta sul router. Ma ogni porta aperta è un servizio pubblicato su Internet, esposto a scanner e tentativi di intrusione automatici. Moltiplica questo per ogni applicazione del tuo homelab e ottieni una superficie d’attacco enorme.

Con un reverse proxy concentri tutto dietro un unico punto, che puoi proteggere con cura: autenticazione, liste di accesso, regole sul firewall. E per l’accesso da remoto la combinazione vincente è non esporre affatto il proxy, ma raggiungerlo attraverso una VPN. In questo modo il proxy serve i tuoi servizi internamente, mentre l’unico ingresso dall’esterno resta il tunnel cifrato. È un’architettura che si sposa perfettamente con una rete già segmentata tramite VLAN e pfSense, dove il proxy vive nel segmento dei servizi e non vede la luce di Internet.

Mettere in pratica con Nginx Proxy Manager

Nginx Proxy Manager è popolare proprio perché toglie la complessità della configurazione manuale. Gira tipicamente come container, offre un’interfaccia web dove ogni servizio si configura come un “proxy host”: indichi il nome a dominio, l’indirizzo interno e la porta del servizio, attivi la richiesta del certificato, e in pochi clic il servizio è raggiungibile in HTTPS con un nome leggibile.

È un tassello che si inserisce naturalmente in un homelab basato su container e su uno storage centralizzato come un NAS Synology. Una volta in piedi, ogni nuovo servizio che aggiungi richiede solo un nuovo proxy host: niente più porte da ricordare, niente più avvisi di sicurezza nel browser, un’unica facciata ordinata davanti a tutto il tuo laboratorio. È il passo che fa maturare un homelab da collezione di servizi sparsi a piattaforma coerente.