如何在同一设备上通过HTTPS自托管GitLab与Nextcloud？

问题场景 #

我已通过HTTPS自托管Nextcloud实例（可通过https://localhost:81及Tor访问），但部署自托管GitLab实例时遇到端口冲突问题。

执行的Docker命令 #

local output
output=$(sudo docker run --detach \
  --hostname "$GITLAB_SERVER" \
  --publish "$GITLAB_PORT_1" --publish "$GITLAB_PORT_2" --publish "$GITLAB_PORT_3" \
  --name "$GITLAB_NAME" \
  --restart always \
  --volume "$GITLAB_HOME"/config:/etc/gitlab \
  --volume "$GITLAB_HOME"/logs:/var/log/gitlab \
  --volume "$GITLAB_HOME"/data:/var/opt/gitlab \
  -e GITLAB_ROOT_EMAIL="$GITLAB_ROOT_EMAIL_GLOBAL" -e GITLAB_ROOT_PASSWORD="$gitlab_pwd" -e EXTERNAL_URL="http://127.0.0.1" \
  "$gitlab_package")

配置参数 #

GITLAB_SERVER="127.0.0.1"
GITLAB_SERVER_HTTP_URL="http://$GITLAB_SERVER"
GITLAB_PORT_1="443:443"
GITLAB_PORT_2="80:80"
GITLAB_PORT_3="23:22"

错误信息 #

docker: Error response from daemon: driver failed programming external connectivity on endpoint gitlab (426dd7fa772f5250531ca478760080f981287048023b356bfa0e98f16db347f9): Error starting userland proxy: listen tcp4 0.0.0.0:443: bind: address already in use

已知443端口被Nextcloud占用，终止进程后httpd会自动重启，不想移除Nextcloud，需实现同一设备上通过HTTPS同时访问两个服务，且支持Tor使用自签名SSL证书访问。

解决方案 #

方案1：反向代理统一处理HTTPS（推荐） #

用Nginx或Caddy做反向代理，将主机443端口统一交给代理，代理根据域名转发到对应服务，无需修改现有服务的内部端口配置。

步骤1：调整GitLab端口映射

修改配置参数，将GitLab的对外映射端口改为非443/80端口：

GITLAB_PORT_1="8443:443"
GITLAB_PORT_2="8080:80"
GITLAB_PORT_3="23:22"

重新启动GitLab容器，确保能通过http://localhost:8080正常访问。

步骤2：配置Nginx反向代理

安装Nginx：

sudo apt install nginx

创建配置文件/etc/nginx/sites-available/services-proxy，添加以下内容：

# Nextcloud 代理配置
server {
    listen 443 ssl;
    server_name nextcloud.local; # 自定义本地域名
    ssl_certificate /path/to/your/ssl/cert.pem;
    ssl_certificate_key /path/to/your/ssl/key.pem;

    location / {
        proxy_pass https://localhost:81;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

# GitLab 代理配置
server {
    listen 443 ssl;
    server_name gitlab.local; # 自定义本地域名
    ssl_certificate /path/to/your/ssl/cert.pem;
    ssl_certificate_key /path/to/your/ssl/key.pem;

    location / {
        proxy_pass http://localhost:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_read_timeout 300;
        proxy_connect_timeout 300;
        proxy_redirect off;
    }
}

启用配置并重启Nginx：

sudo ln -s /etc/nginx/sites-available/services-proxy /etc/nginx/sites-enabled/
sudo systemctl restart nginx

步骤3：配置本地hosts（可选）

编辑/etc/hosts添加域名映射：

127.0.0.1 nextcloud.local
127.0.0.1 gitlab.local

之后即可通过https://nextcloud.local和https://gitlab.local分别访问两个服务，Tor访问时只需配置对应的.onion域名指向主机443端口。

方案2：调整Nextcloud端口，让GitLab使用443 #

如果不想用反向代理，可直接修改Nextcloud的端口配置：

• 找到Nextcloud的Docker启动命令或配置文件，将其HTTPS端口从81改为其他（如8443），确保Nextcloud正常启动在新端口。
• 恢复GitLab的端口映射为443:443，启动GitLab容器。
• 访问时分别使用https://localhost:8443（Nextcloud）和https://localhost（GitLab），Tor访问需对应配置端口映射。

方案3：Docker内部网络+代理容器 #

创建自定义Docker网络，让Nextcloud、GitLab和代理容器在内部网络通信，仅代理容器对外暴露443端口：

1. 创建自定义网络：

sudo docker network create services-net

2. 重启Nextcloud容器，加入该网络（修改原启动命令，添加--network services-net）。
3. 启动GitLab容器时加入该网络（同样添加--network services-net，可去掉对外的443/80端口映射）。
4. 启动Nginx代理容器，加入该网络，配置反向代理指向Nextcloud和GitLab的容器名（如nextcloud、gitlab），代理容器对外暴露443端口。

这种方式无需将服务端口映射到主机，安全性更高。

内容的提问来源于stack exchange，提问作者a.t.