如何在宿主机通过Nginx反向代理至LXC容器内的Gunicorn实例

核心逻辑 #

直接用宿主机Nginx代理到容器内的Gunicorn，既能统一管理自定义域名与SSL证书，避免多Nginx实例的冗余，同时大概率解决之前的CSRF问题——此前的问题根源大概率是容器内Nginx转发时未正确传递关键请求头，导致Django无法匹配CSRF令牌的请求来源。

具体实现步骤 #

1. 调整容器内Gunicorn监听配置 #

确保Gunicorn绑定到容器的非本地回环地址，让宿主机能访问到它。比如绑定到容器内网IP或0.0.0.0，端口保持默认（如8000）：

gunicorn --bind 0.0.0.0:8000 your_project.wsgi:application

如果用systemd管理Gunicorn，修改对应service文件的ExecStart行即可。

2. 宿主机Nginx反向代理配置 #

在宿主机创建Nginx站点配置文件（例如/etc/nginx/sites-available/django-proxy），内容如下：

server {
    listen 80;
    server_name your-custom-domain.com;

    # 强制跳转到HTTPS
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl;
    server_name your-custom-domain.com;

    # 配置SSL证书路径
    ssl_certificate /path/to/your/fullchain.pem;
    ssl_certificate_key /path/to/your/privkey.pem;

    location / {
        # 传递关键请求头，确保Django能正确识别请求来源
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # 转发到容器内网IP和Gunicorn端口
        proxy_pass http://<容器内网IP>:8000;
    }

    # 静态文件直接由宿主机Nginx处理（可选，提升访问效率）
    location /static/ {
        alias /path/to/your/django/static/root/;
    }

    location /media/ {
        alias /path/to/your/django/media/root/;
    }
}

启用配置并重启Nginx：

ln -s /etc/nginx/sites-available/django-proxy /etc/nginx/sites-enabled/
nginx -t && systemctl restart nginx

3. Django项目配置修正 #

修改项目根目录下的settings.py，确保以下配置正确：

# 允许自定义域名访问
ALLOWED_HOSTS = ['your-custom-domain.com']

# 让Django识别HTTPS代理请求
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')

# 静态文件收集路径（对应宿主机Nginx配置的静态文件目录）
STATIC_ROOT = '/path/to/your/django/static/root/'

执行静态文件收集（若尚未执行）：

python manage.py collectstatic

为什么能解决CSRF问题 #

之前代理到容器内Nginx时，若容器内Nginx未正确传递Host、X-Forwarded-Proto等头，会导致Django生成的CSRF令牌对应的域名/协议，与用户实际访问的不一致，最终触发验证失败。直接代理到Gunicorn时，只要宿主机Nginx正确传递这些关键头，Django就能准确识别请求来源，CSRF验证自然通过。

内容的提问来源于stack exchange，提问作者Marc Nealer