nginx-reverse-proxy

Nginx Reverse Proxy

Ortak Doktrin

agents/shared/severity-rubric.md ve agents/shared/escalation-matrix.md default-load sayılır (agents/coordination.md §11). Bu skill'in çıktısı Critical / High / Medium / Low + kanıt formatında olmak zorunda — spekülatif Critical yasak. Sahiplik dışı bulgu ilgili agent'a delege; karar yetkisi eşiği aşılırsa kullanıcı onayı zorunlu.

Ne Zaman Kullanılır

• Yeni upstream eklendi
• 502/504 spike
• WebSocket bağlantı kurulamıyor / 60s'de kopuyor
• TLS audit
• DDoS / kötüye kullanım

Workflow

1. Konfig topla
   • nginx -T (yüklü conf'ları gösterir)
   • Repo: nginx*.conf, conf.d/*, sites-available/*
2. Statik analiz (rules/nginx.md'deki checklist)
3. Symptom-spesifik kontrol
   • 502: upstream down / timeout / SSL handshake fail
   • 504: proxy_read_timeout kısa
   • WS kopuyor: Upgrade header eksik veya proxy_read_timeout
   • 413: client_max_body_size
4. Diff öner, nginx -t ile validate, reload onay

Checklist

• proxy_set_header Host/X-Real-IP/X-Forwarded-For/X-Forwarded-Proto
• WS location: Upgrade + Connection "upgrade" + read_timeout 3600s + buffering off
• HTTP -> HTTPS redirect
• TLS 1.2+ only, HSTS, OCSP stapling
• server_tokens off
• Rate limit auth path
• client_max_body_size upload endpoint için
• Access log JSON format
• gzip / brotli text content
• Health endpoint /healthz upstream'siz cevaplanabilir

Antipattern

• WS proxy'de proxy_buffering on (default)
• proxy_read_timeout 60s WS'te
• HTTP/1.0 keepalive yok
• Wildcard server_name + auth
• TLS protokol SSLv3 TLSv1
• worker_connections çok düşük (1024 default tek instance için OK; 10k connection beklerken yetmez)

Örnek Agent Davranışı

User: WS staging'de açılıyor, 60s sonra düşüyor
Agent:
1. ops/nginx/api.conf oku -> /ws location'da Upgrade header VAR ama proxy_read_timeout yok
2. Cloud LB? -> Terraform: ALB idle_timeout = 60
3. Hipotez: heartbeat 90s + ALB 60s = drop
4. Çözüm:
   - Server heartbeat 25s
   - Nginx proxy_read_timeout 3600s
   - ALB idle_timeout 3600
5. Diff göster, onay, deploy
6. wscat ile 5dk smoke

Çıktı Formatı

# Nginx Review: <conf path>

## Bulgular (severity)
## Diff
## Test komutu
## Reload (onay)