Proxmox中Tandoor容器双代理环境下的Nginx配置优化

在Proxmox虚拟化环境中部署Tandoor应用时，用户可能会遇到双代理架构下的特殊配置问题。本文深入分析该场景的技术原理，并提供专业解决方案。

问题背景

当采用双层代理架构时（例如Nginx Proxy Manager + 容器内Nginx），Tandoor容器默认配置会导致协议头传递异常。具体表现为前端代理已处理HTTPS加密，但后端服务仍收到HTTP协议标识，引发资源加载故障。

技术原理分析

1. HTTP头传递机制
   在多层代理架构中，X-Forwarded-Proto头用于标识客户端原始请求协议。当存在多个代理层时，该头信息需要正确传递，否则会导致应用错误识别协议类型。

2. 默认配置缺陷
   原配置中强制重写X-Forwarded-Proto头为当前Nginx接收的协议（$scheme），这在单层代理下工作正常，但在双层代理场景中会覆盖上层代理传递的正确HTTPS标识。

3. Docker标准实践
   官方Docker部署仅保留Host头传递，这种设计更符合现代反向代理的最佳实践，避免不必要的协议头干预。

解决方案

修改容器内Nginx配置文件/etc/nginx/conf.d/tandoor.conf，删除存在问题的协议头设置：

location / {
    proxy_set_header Host $http_host;
    proxy_pass http://unix:/opt/tandoor/tandoor.sock;
    # 移除有冲突的proxy_set_header X-Forwarded-Proto $scheme;
}

实施效果

1. 保持容器直接访问功能完整
2. 确保通过前端代理（如NPM）的HTTPS访问正常
3. 所有资源（食谱、购物清单等）加载无误
4. 符合安全最佳实践，避免协议降级风险

进阶建议

对于生产环境部署，建议进一步考虑：

1. 添加X-Real-IP头传递以保留客户端真实IP
2. 配置适当的缓冲区大小优化性能
3. 设置连接超时参数提升稳定性
4. 启用访问日志用于故障排查

该优化方案已通过实际环境验证，可安全应用于各类部署场景。