‏Caddy أم Traefik أم Nginx Proxy Manager: أيهما تختار؟

بشكل افتراضي، تستمع كل حاوية ‏Docker على منفذ عشوائي: ‏Nextcloud على المنفذ 8080، و‏Gitea على المنفذ 3000، و‏Vaultwarden على المنفذ 8200. لا يمكنك عرض عشرة منافذ مباشرةً في بيئة الإنتاج. يحل البروكسي العكسي هذه المشاكل الثلاث دفعةً واحدة: يصبح نقطة الدخول العامة الوحيدة، ويوجّه حركة المرور بناءً على اسم المضيف، ويتولى إنهاء ‏TLS. النتيجة: ‏app1.your-domain.com و‏app2.your-domain.com تشيران كلتاهما إلى المنفذ 443 لخادمك، والبروكسي يعرف إلى أي حاوية يُعيد توجيه كل طلب.

قبل اختيار أحد هذه البروكسيات الثلاثة وتثبيته، تأكد من أن خادم ‏VPS الخاص بك يستوفي بعض الشروط الأساسية. يجب تثبيت ‏Docker و‏Docker Compose (يُنصح بالإصدار ‏Compose V2، أي الأمر ‏docker compose بدون شرطة). يجب أن تشير سجلات ‏DNS إلى عنوان ‏IP العام لخادمك قبل طلب الشهادة — إذ يتحقق ‏Let's Encrypt من ‏DNS أثناء التحقق ‏HTTP-01، وقد يؤدي خطأ في هذه المرحلة إلى حدّ معدل (‏rate limit) يمنع محاولاتك لمدة ساعة تقريبًا. يجب أن يكون المنفذان 80 و443 على خادمك حرّين: تحقق بالأمر ‏ss -tlnp | grep -E ':80|:443' من عدم وجود خدمة أخرى تشغلهما. أخيرًا، أنشئ شبكة ‏Docker مخصصة للبروكسي — ‏docker network create proxy — تربط بها كل حاوية يجب أن يصل إليها البروكسي.

رسّخ ‏Caddy مكانته بوصفه الخيار الأبسط للمطورين الذين يستضيفون ما بين تطبيقين وعشرة تطبيقات على خادم ‏VPS. فلسفته جذرية: ‏TLS مفعَّل افتراضيًا لأي نطاق صالح، دون أي خيار يجب تفعيله أو متغير يجب تعريفه. ملف الإعداد ‏Caddyfile مقروء عن قصد، قريب من اللغة الطبيعية، ويمكن أن يقتصر على نحو عشرة أسطر في حالة استخدام شائعة. ‏Caddy مكتوب بلغة ‏Go ويضم عميل ‏ACME خاصًا به: يتصل بـ ‏Let's Encrypt مباشرةً، ويخزّن الشهادات في دليل بياناته، ويجدّدها تلقائيًا قبل انتهاء صلاحيتها. وعلى خلاف تثبيت ‏Nginx التقليدي الذي يعتمد غالبًا على ‏certbot كخدمة منفصلة، لا يحتاج ‏Caddy إلى أي تبعية خارجية لإدارة ‏TLS. استهلاك الذاكرة يبقى منخفضًا في وضع الراحة، ما يجعله مناسبًا تمامًا لخوادم ‏VPS المبتدئة بذاكرة 1 أو 2 غيغابايت. العيب الحقيقي الوحيد في ‏Caddy: الاكتشاف التلقائي لحاويات ‏Docker ليس مدمجًا. وللتغلب على ذلك، تُستخدم إما الإضافة ‏caddy-docker-proxy أو إعداد ثابت في ملف ‏Caddyfile.

يتألق ‏Traefik في السياقات التي يتغير فيها عدد الخدمات باستمرار: بيئات ‏CI/CD التي تنشئ الحاويات وتحذفها مع كل نشر، ومعماريات الخدمات المصغرة التي تضم أكثر من خمس خدمات مستقلة، أو الفرق التي ينشر فيها كل مطور حزمه الخاصة دون المساس بإعداد مركزي. آلية الاكتشاف التلقائي عبر تسميات ‏Docker هي ميزته الرئيسية: عند تشغيل حاوية بالتسميات الصحيحة (‏traefik.http.routers.myapp.rule=Host("app.your-domain.com"))، يكتشفها ‏Traefik فورًا ويُنشئ المسار ويطلب شهادة ‏TLS دون أن تحتاج إلى تعديل إعداده. يتضمن ‏Traefik أيضًا لوحة تحكم ويب تعرض في الوقت الفعلي جميع الموجّهات والخدمات والوسائط (‏middlewares) النشطة. في المقابل، منحنى التعلم أكثر حدة: الوسائط ونقاط الدخول وصيغة التسميات قد تربك المبتدئين، وخطأ إملائي في تسمية واحدة قد يجعل تطبيقًا غير متاح دون أي رسالة واضحة.

‏Nginx Proxy Manager (‏NPM) هو الخيار الواضح لمن لا يرتاح لملفات الإعداد في سطر الأوامر. تتيح واجهته الرسومية إنشاء مضيف بروكسي ببضع نقرات: تُدخل اسم النطاق وعنوان الحاوية الهدف، وتفعّل خياري «Force SSL» و«HTTP/2 Support»، ثم تنقر على «Save» — وهذا كل شيء. يتولى ‏NPM الباقي، بما في ذلك طلب شهادة ‏Let's Encrypt. تتيح الواجهة أيضًا إدارة عدة مستخدمين بصلاحيات مختلفة، وإضافة قوائم التحكم في الوصول، وإعداد عمليات إعادة التوجيه. في المقابل، يشغّل ‏NPM إلى جانب ‏Nginx تطبيق ‏Node.js وقاعدة بيانات لتخزين إعداداته (‏SQLite افتراضيًا، و‏MariaDB أو ‏MySQL اختياريًا)، مما يجعله أكثر استهلاكًا للذاكرة من ‏Caddy. يناسب ‏NPM تمامًا الفرق المختلطة بين التقنيين وغير التقنيين، أو الحالات التي يحتاج فيها أشخاص غير مدير النظام الرئيسي إلى إدارة النطاقات.

تندرج غالبية المشكلات في أربع فئات. أولًا، حدود معدل ‏Let's Encrypt: إذا أعدت تشغيل حزمتك عدة مرات أثناء الاختبار بالنطاق نفسه، فقد تستنفد حد خمس شهادات لمجموعة الأسماء نفسها خلال سبعة أيام. الحل: استخدم بيئة الاختبار (‏staging) لدى ‏Let's Encrypt (‏acme_ca https://acme-staging-v02.api.letsencrypt.org/directory في ‏Caddy) لاختباراتك ثم انتقل إلى الإنتاج. ثانيًا، تعارض المنافذ: إذا كان المنفذ 80 أو 443 مشغولًا بخادم ‏Apache أو ‏Nginx على المضيف، فلن يبدأ البروكسي في ‏Docker. حدّد العملية بالأمر ‏ss -tlnp | grep :80 وأوقفها. ثالثًا، أخطاء شبكة ‏Docker: تحقق من أن البروكسي والحاوية الهدف على الشبكة نفسها بالأمر ‏docker network inspect proxy. رابعًا، بالنسبة إلى ‏Traefik، الأخطاء الإملائية في التسميات: فعّل سجلات ‏DEBUG (‏log: { level: DEBUG } في ‏traefik.yml، أو ‏--log.level=DEBUG إذا كان ‏Traefik مُعدًّا عبر سطر الأوامر).

لغالبية العظمى من المضيفين الذاتيين الذين يديرون تطبيقات ‏Docker على خادم ‏VPS، يعد ‏Caddy نقطة انطلاق ممتازة: بسيط وخفيف ويتولى ‏TLS دون إعداد إضافي. إذا نمت بنيتك التحتية إلى أكثر من خمس خدمات مع نشر متكرر وآلي، يصبح ‏Traefik أكثر ملاءمة.