Сети и веб-трафик: TCP/IP, порты, DNS и зачем нужен Reverse Proxy (Nginx)

+-------------------------------------------------------------------------+
|                АРХИТЕКТУРА ВЕБ-ТРАФИКА И REVERSE PROXY                  |
+-------------------------------------------------------------------------+
|  КЛИЕНТ (Браузер)                                                       |
|    1. Резолвинг DNS: api.company.com ──► 198.51.100.10                  |
|    2. HTTPS Handshake (TLS 1.3) к порту 443                             |
|                               │                                         |
|                               ▼                                         |
|  ПУБЛИЧНЫЙ СЕРВЕР LINUX (198.51.100.10)                                 |
|  ┌───────────────────────────────────────────────────────────────────┐  |
|  │ NGINX REVERSE PROXY (Порт 80 / 443)                               │  |
|  │  • SSL/TLS Termination (расшифровка трафика аппаратно)             │  |
|  │  • Отдача статики (изображения, JS-бандлы) через sendfile()        │  |
|  │  • Защита от Slowloris и буферизация медленных клиентов           │  |
|  │  • Gzip / Brotli сжатие ответов                                   │  |
|  │  • Защита от DDoS (Rate Limiting)                                 │  |
|  └────────────────────────────┬──────────────────────────────────────┘  |
|                               │ Быстрый локальный HTTP/1.1              |
|                               ▼ (Unix Socket или 127.0.0.1:3000)        |
|  ┌───────────────────────────────────────────────────────────────────┐  |
|  │ NODE.JS / NEXT.JS RUNTIME (Непривилегированный порт 3000)         │  |
|  │  • Пользователь: 'node' (UID 1001, без прав root)                 │  |
|  │  • Чистая бизнес-логика (API, рендеринг страниц, запросы к БД)     │  |
|  └───────────────────────────────────────────────────────────────────┘  |
+-------------------------------------------------------------------------+

# Определение пула бэкенд-серверов (Upstream)
upstream nodejs_backend {
    # Подключение к локальному приложению Node.js
    server 127.0.0.1:3000 max_fails=3 fail_timeout=10s;
    keepalive 32; # Пул постоянных соединений с бэкендом
}

# 1. Редирект всего незашифрованного HTTP трафика на HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name api.example.com;

    # Сертификация Let's Encrypt через ACME Challenge
    location /.well-known/acme-challenge/ {
        root /var/www/certbot;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

# 2. Основной виртуальный хост HTTPS
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name api.example.com;

    # Пути к сертификатам безопасности
    ssl_certificate /etc/letsencrypt/live/api.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/api.example.com/privkey.pem;

    # Современные стойкие криптографические протоколы
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    # Буферизация и защита от медленных клиентов (Slowloris)
    client_body_buffer_size 128k;
    client_max_body_size 10M;
    client_body_timeout 12s;
    client_header_timeout 12s;

    # Сжатие ответов на лету
    gzip on;
    gzip_types text/plain text/css application/json application/javascript text/xml;
    gzip_min_length 1024;

    # Проксирование запросов к Node.js
    location / {
        proxy_pass http://nodejs_backend;
        proxy_http_version 1.1;

        # Поддержка постоянных соединений и WebSockets
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # Передача реальных сетевых метаданных клиента в Node.js
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # Таймауты ожидания ответа от бэкенда
        proxy_connect_timeout 5s;
        proxy_read_timeout 60s;
        proxy_send_timeout 60s;
    }
}

import http from 'node:http';

const server = http.createServer((req, res) => {
  // Заголовок X-Forwarded-For формируется в виде цепочки: "client_ip, proxy1_ip, proxy2_ip"
  const forwardedHeader = req.headers['x-forwarded-for'];
  let clientIp: string;

  if (typeof forwardedHeader === 'string') {
    // Первый адрес в списке — исходный IP клиента
    clientIp = forwardedHeader.split(',')[0].trim();
  } else {
    // Резервное значение (если запрос пришел напрямую в обход прокси)
    clientIp = req.socket.remoteAddress ?? 'unknown';
  }

  const clientProto = req.headers['x-forwarded-proto'] ?? 'http';

  res.writeHead(200, { 'Content-Type': 'application/json' });
  res.end(JSON.stringify({
    message: 'Запрос успешно обработан',
    clientIp,
    protocol: clientProto,
    host: req.headers['host'],
  }));
});

server.listen(3000, () => {
  console.log('[Node] Внутренний микросервис ожидает трафик от Nginx на порту 3000');
});