Docker环境下nginx反向代理单容器或分服务部署方案选型咨询

大部分面向公网暴露多Docker服务的场景下，单台专用Nginx容器统一转发所有本地服务请求是性价比更高的选择，仅少数特殊场景适合为每个服务配置独立Nginx。

统一Nginx代理的核心优势 #

• 资源开销更低：单台轻量Nginx（基于alpine镜像）承载上百个服务的转发规则时，内存占用通常仅10~30MB，远低于多实例独立部署的总资源消耗。
• 安全管控更简单：仅需要对外暴露80、443两个端口，所有后端服务不需要对外映射端口，直接通过Docker内部网络通信，大幅缩小公网攻击面；SSL证书更新、WAF规则配置、全局限流、访问日志统一审计等操作仅需执行一次，无需逐服务调整。
• 运维成本更低：可统一管理域名路由规则，避免多Nginx实例抢占80/443端口的冲突问题，配置排查、故障定位的效率远高于多实例分散部署的架构。

独立Nginx代理的适用场景 #

只有满足以下任一条件时，才适合采用多独立Nginx的部署方案：

• 多服务归属完全隔离的不同运维主体，不允许各方互相操作代理配置。
• 单个服务有特殊的Nginx定制需求，比如需要编译特定版本的第三方模块、定制特殊的流量处理逻辑，和通用Nginx镜像的配置无法兼容。
• 服务的安全隔离等级要求极高，要求反向代理层的故障、入侵完全不会波及其他业务。

参考配置示例 #

统一Nginx代理的docker-compose简化配置如下：

version: '3.8'
services:
  # 统一反向代理
  nginx-proxy:
    image: nginx:stable-alpine
    ports:
      - "80:80"
      - "443:443"
    volumes:
      # 存放各服务的代理规则配置
      - ./nginx/conf.d:/etc/nginx/conf.d
      # 存放SSL证书
      - ./nginx/certs:/etc/nginx/certs
      # 统一存放访问日志
      - ./nginx/logs:/var/log/nginx
    networks:
      - service-network
    restart: unless-stopped

  # 后端服务1
  blog:
    image: wordpress:latest
    volumes:
      - ./blog/data:/var/www/html
    networks:
      - service-network
    restart: unless-stopped
    # 无需对外映射端口

  # 后端服务2
  dashboard:
    image: grafana/grafana:latest
    volumes:
      - ./grafana/data:/var/lib/grafana
    networks:
      - service-network
    restart: unless-stopped
    # 无需对外映射端口

# 所有服务共用的内部Docker网络
networks:
  service-network:
    name: service-network

内容的提问来源于stack exchange，提问作者Sebastian Jensen