Dùng Nginx reverse proxy cho Node.js Express trên cổng 3000

Trả lời nhanh: Đặt Node.js sau Nginx giúp public chỉ cần mở 80/443, còn Node lắng nghe localhost hoặc private network; Nginx xử lý TLS, header và static asset.

Bài viết này thuộc serial Nginx, Reverse Proxy & Web Performance thực chiến. Mục tiêu là giải thích đúng mô hình, cung cấp cấu hình có thể kiểm tra và chỉ ra cách rollback khi thay đổi không đạt. Không nên áp dụng nguyên xi lên production nếu chưa đối chiếu phiên bản Nginx, hệ điều hành, topology và chính sách bảo mật của bạn.

Hiểu đúng bài toán

Ứng dụng phải có process supervisor, endpoint health và timeout phù hợp; Nginx không thay thế việc quản lý process Node.

Cấu hình tham khảo

Đây là skeleton tối thiểu để minh họa. Hãy thay domain, đường dẫn, upstream, user và giới hạn theo hệ thống thật.

upstream node_app { server 127.0.0.1:3000; }
server {
  listen 80;
  server_name app.example.com;
  location / { proxy_pass http://node_app; proxy_set_header Host $host; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; }
}

Quy trình triển khai

1. Ghi lại cấu hình hiện tại, dependency và phương án truy cập khẩn cấp.
2. Đưa thay đổi vào file riêng hoặc branch có thể diff; không sửa mù trực tiếp trên bản duy nhất.
3. Chạy kiểm tra cú pháp và smoke test từ cả bên trong lẫn bên ngoài origin.
4. Reload graceful, theo dõi log/metric rồi chỉ tiếp tục khi health và latency ổn định.

Cách kiểm tra kết quả

curl -i -H "Host: app.example.com" http://127.0.0.1

Lỗi thường gặp

• Sai port, process chỉ bind IPv6 hoặc ứng dụng không tin proxy khiến redirect/secure cookie lỗi.

Nguyên tắc xử lý là thay đổi một lớp mỗi lần: DNS/TLS, Nginx routing, kết nối upstream, ứng dụng rồi đến dữ liệu. Tránh xóa cache, đổi firewall hoặc restart toàn bộ stack khi chưa giữ lại log và bản cấu hình có thể phục hồi.

Checklist trước production

• Bind private
• supervisor
• proxy headers
• health check
• log upstream.

Kết luận

Đặt Node.js sau Nginx giúp public chỉ cần mở 80/443, còn Node lắng nghe localhost hoặc private network; Nginx xử lý TLS, header và static asset. Khi triển khai thực tế, hãy nối kết quả đo với mục tiêu người dùng như availability, TTFB, LCP, INP, CLS hoặc thời gian khôi phục thay vì chỉ nhìn một chỉ số đơn lẻ. Các bài tiếp theo trong Nginx Serial sẽ mở rộng từ lớp cấu hình này sang bảo mật, cache, monitoring và vận hành production.

Tài liệu tham khảo

• NGINX Reverse Proxy Administration Guide
• Node.js HTTP Documentation