Caddy كـ reverse proxy على VPS: دليل شامل

لماذا تختار Caddy كـ reverse proxy على VPS؟

مزايا Caddy في الإنتاج

• HTTPS تلقائي: ‎ACME HTTP-01‎ من ‎Let's Encrypt‎ ينشط فور تعريف اسم النطاق — لا ‎cron‎ ولا إضافات
• صياغة موجزة: كتلة من خمسة أسطر تحل محل vhost ‎Nginx‎ المكوّن من أربعين سطرًا مع ملف ‎Certbot‎
• إعادة تحميل بلا انقطاع: caddy reload يطبّق Caddyfile الجديد دون قطع الاتصالات الجارية
• HTTP/2 و HTTP/3 (QUIC) بشكل افتراضي: مفعّلان دون أي إعداد إضافي في جميع إصدارات ‎2.x‎
• JSON API: الإعداد قابل للتعديل مباشرةً عبر واجهة REST API، مفيد للبيئات الديناميكية أو المعتمدة على الحاويات
• صورة Docker رسمية خفيفة: caddy:2-alpine تزن أقل من 20 ميغابايت وتغطي معظم حالات الإنتاج

المتطلبات المسبقة

ss -tlnp | grep -E ':80|:443'

نشر Caddy كـ reverse proxy

1. 01

   الطريقة 1 — التثبيت عبر مستودع APT الرسمي

   يوفر ‏Caddy مستودع APT موقَّعًا. أضفه ثم ثبّت الحزمة:

   apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' \
     | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' \
     | tee /etc/apt/sources.list.d/caddy-stable.list
   apt update && apt install caddy

   تحقق من الإصدار المثبّت: يجب أن يعرض caddy version قيمة ‎v2.9.x‎ أو أحدث.

2. 02

   الطريقة 2 — النشر عبر Docker Compose

   إذا كانت تطبيقاتك تعمل بالفعل على Docker، فإضافة خدمة ‏Caddy إلى نفس ‎compose.yml‎ هي الطريقة الأبسط. أنشئ ملف ‎compose.yml‎ في جذر مشروعك:

   services:
     caddy:
       image: caddy:2-alpine
       restart: unless-stopped
       ports:
         - "80:80"
         - "443:443"
         - "443:443/udp"
       volumes:
         - ./Caddyfile:/etc/caddy/Caddyfile
         - caddy_data:/data
         - caddy_config:/config
       networks:
         - proxy
   
   volumes:
     caddy_data:
     caddy_config:
   
   networks:
     proxy:
       external: true

   أنشئ الشبكة المشتركة مرة واحدة: docker network create proxy. تنضم خدماتك الأخرى إلى هذه الشبكة لتصبح متاحة لـ ‏Caddy.

3. 03

   إنشاء Caddyfile الأساسي

   ‎Caddyfile‎ هو ملف الإعداد المركزي. للتثبيت عبر APT يوجد في ‎/etc/caddy/Caddyfile‎. لـ Docker ضعه بجانب ‎compose.yml‎.

   مثال بسيط لعرض تطبيق على المنفذ 3000:

   myapp.com {
       reverse_proxy localhost:3000
   }

   هذا كل شيء. يكتشف ‏Caddy أن ‎myapp.com‎ اسم نطاق، يتواصل مع ‎Let's Encrypt‎ عبر ‎ACME HTTP-01‎، يحصل على شهادة، ويعيد توجيه كل حركة HTTP إلى HTTPS تلقائيًا. تُخزَّن الشهادات في ‎~/.local/share/caddy/‎ (APT) أو في المجلد المنطقي ‎caddy_data‎ (Docker).

4. 04

   إعداد تطبيقات متعددة (multi-vhost)

   استضافة عدة تطبيقات على نفس VPS لا تتطلب سوى كتل إضافية في نفس الملف:

   app1.yourdomain.com {
       reverse_proxy localhost:3000
   }
   
   app2.yourdomain.com {
       reverse_proxy localhost:4000
   }
   
   blog.yourdomain.com {
       reverse_proxy localhost:8080
   }

   تحصل كل كتلة على شهادة ‎Let's Encrypt‎ خاصة بها. يُدير ‏Caddy التجديدات بشكل مستقل لكل نطاق، بالتوازي، دون انقطاع في الخدمة.

5. 05

   تطبيق Caddyfile دون انقطاع

   لـ APT، أعد تحميل الإعداد دون قطع الاتصالات:

   systemctl reload caddy
   # أو إذا عدّلت الملف خارج /etc/caddy/:
   caddy reload --config /path/to/Caddyfile

   لـ Docker:

   docker compose exec caddy caddy reload --config /etc/caddy/Caddyfile

   تحقق من صحة الصياغة قبل إعادة التحميل: caddy validate --config /etc/caddy/Caddyfile.

6. 06

   إضافة رؤوس الأمان وتحديد معدل الطلبات

   يدعم ‏Caddy رؤوس الأمان بشكل أصيل عبر التوجيه ‎header‎. إليك كتلة مُصلَّبة لتطبيق إنتاجي:

   myapp.com {
       reverse_proxy localhost:3000
   
       header {
           Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
           X-Content-Type-Options "nosniff"
           X-Frame-Options "SAMEORIGIN"
           Referrer-Policy "strict-origin-when-cross-origin"
           -Server
       }
   
       log {
           output file /var/log/caddy/myapp.log {
               roll_size 10mb
               roll_keep 5
           }
       }
   }

   لتحديد معدل الطلبات، يُثبَّت الوحدة ‎caddy-ratelimit‎ عبر ‎xcaddy build‎ وتُستخدم بالتوجيه ‎rate_limit‎. الصورة الرسمية على Docker لا تتضمنها — ابنِ صورتك الخاصة أو استخدم جدار حماية تطبيقي من طبقة أعلى إن كانت الحاجة ماسّة.

7. 07

   تفعيل خدمة systemd والتحقق منها (APT)

   بعد التثبيت عبر APT، تُفعَّل الخدمة تلقائيًا. تحقق من حالتها والسجلات:

   systemctl status caddy
   journalctl -u caddy -f

   للتأكد من التشغيل عند إعادة الإقلاع: systemctl enable caddy (منجز بالفعل من الحزمة). اختبر نجاح إصدار شهادة ‎Let's Encrypt‎:

   curl -sv https://myapp.com 2>&1 | grep -E 'subject|issuer|expire'

كيف يعمل HTTPS التلقائي في Caddy

‏Caddy مقابل Nginx: متى تختار أيًا منهما

مرّر الجدول أفقيًا

حل المشكلات: الأخطاء الشائعة