ติดตั้งและตั้งค่า Nginx บน VPS Ubuntu: Static Site, Reverse Proxy และ SSL

apt update && apt install nginx -y

systemctl enable nginx
systemctl start nginx

# ตรวจสอบว่า Nginx ทำงานอยู่
systemctl status nginx

# ตรวจสอบว่า Port 80 เปิดอยู่
ss -tlnp | grep :80

# ถ้าใช้ UFW ให้เปิด Port HTTP และ HTTPS
ufw allow 'Nginx Full'
ufw status

/etc/nginx/
├── nginx.conf              # ไฟล์ config หลัก (global settings)
├── conf.d/                 # Config ที่ include อัตโนมัติ (สำหรับ custom global settings)
├── sites-available/        # ไฟล์ Virtual Host ทั้งหมด (เก็บไว้ ยังไม่ active)
│   └── default             # Virtual Host เริ่มต้น
├── sites-enabled/          # Symlink ของ Virtual Host ที่ active อยู่
│   └── default -> ../sites-available/default
├── modules-available/      # Module ที่ available
├── modules-enabled/        # Module ที่ load อยู่
└── snippets/               # Config ย่อยที่ include ซ้ำได้ (เช่น SSL params)

# สร้าง document root
mkdir -p /var/www/mysite.com/html

# ตั้ง Ownership ให้ www-data (user ที่ Nginx ใช้รัน)
chown -R www-data:www-data /var/www/mysite.com

# ตั้ง Permission ที่เหมาะสม
chmod -R 755 /var/www/mysite.com

nano /etc/nginx/sites-available/mysite.conf

server {
    listen 80;
    listen [::]:80;

    server_name mysite.com www.mysite.com;

    root /var/www/mysite.com/html;
    index index.html index.htm;

    location / {
        try_files $uri $uri/ =404;
    }

    # ป้องกันไม่ให้เข้าถึงไฟล์ที่ขึ้นต้นด้วยจุด (เช่น .env, .git)
    location ~ /\. {
        deny all;
    }

    # Log files
    access_log /var/log/nginx/mysite.com.access.log;
    error_log  /var/log/nginx/mysite.com.error.log;
}

# สร้าง Symlink จาก sites-available ไปยัง sites-enabled
ln -s /etc/nginx/sites-available/mysite.conf /etc/nginx/sites-enabled/

# ทดสอบ Config ว่า Syntax ถูกต้อง (สำคัญมาก!)
nginx -t

# ถ้าผ่านแล้ว ให้ Reload (ไม่ Downtime)
systemctl reload nginx

server {
    listen 80;
    server_name mysite.com www.mysite.com;

    root /var/www/mysite.com/html;

    # ไฟล์ index ที่จะ serve เมื่อ request path เป็น directory
    index index.html index.htm;

    # Location block หลัก: ลอง serve ไฟล์ตรง ๆ ก่อน
    # ถ้าไม่เจอ ลอง directory ถ้าไม่เจออีก return 404
    location / {
        try_files $uri $uri/ =404;
    }

    # Cache รูปภาพและ Static Assets เป็น 30 วัน
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|woff2|svg)$ {
        expires 30d;
        add_header Cache-Control "public, no-transform";
    }

    # Block การเข้าถึง hidden files
    location ~ /\. {
        deny all;
        access_log off;
        log_not_found off;
    }
}

server {
    listen 80;
    server_name myapp.com www.myapp.com;

    location / {
        proxy_pass http://localhost:3000;

        # ส่ง Header ต้นฉบับไปยัง Application
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # Timeout settings
        proxy_connect_timeout 60s;
        proxy_send_timeout    60s;
        proxy_read_timeout    60s;
    }
}

# กำหนด upstream ก่อน server block
upstream myapp_backend {
    # Round-robin load balancing (default)
    server localhost:3000;
    server localhost:3001;
    server localhost:3002;

    # keepalive connections ไว้ใช้ซ้ำ (ดีต่อ performance)
    keepalive 16;
}

server {
    listen 80;
    server_name myapp.com www.myapp.com;

    location / {
        proxy_pass http://myapp_backend;
        proxy_http_version 1.1;
        proxy_set_header Connection "";  # จำเป็นสำหรับ keepalive
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

server {
    listen 80;
    server_name myphp.com www.myphp.com;

    root /var/www/myphp.com/html;
    index index.php index.html;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    # ส่ง PHP files ไปยัง PHP-FPM
    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php8.2-fpm.sock;
    }

    location ~ /\.ht {
        deny all;
    }
}

apt install certbot python3-certbot-nginx -y

# เปลี่ยน example.com เป็นโดเมนของคุณ
# Certbot จะแก้ไข Nginx config ให้อัตโนมัติและ redirect HTTP → HTTPS
certbot --nginx -d example.com -d www.example.com

# ทดสอบว่า Auto-renewal ทำงานได้ปกติ (ไม่ Renew จริง)
certbot renew --dry-run

# ดู Timer ของ Systemd
systemctl status certbot.timer

# หรือดู Cron Job (แล้วแต่ระบบ)
cat /etc/cron.d/certbot

# เพิ่มใน http block ของ nginx.conf หรือสร้างไฟล์ใน conf.d/
gzip on;
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_buffers 16 8k;
gzip_http_version 1.1;
gzip_min_length 256;
gzip_types
    text/plain
    text/css
    text/xml
    text/javascript
    application/json
    application/javascript
    application/x-javascript
    application/xml
    application/xml+rss
    application/xhtml+xml
    image/svg+xml
    font/woff
    font/woff2;

server {
    # ... config อื่น ๆ ...

    # ป้องกัน Clickjacking (ไม่ให้ฝัง iframe จาก domain อื่น)
    add_header X-Frame-Options "SAMEORIGIN" always;

    # ป้องกัน MIME Type Sniffing
    add_header X-Content-Type-Options "nosniff" always;

    # ควบคุม Referrer ที่ส่งไปยัง Site อื่น
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    # ป้องกัน XSS (Cross-Site Scripting) สำหรับ Browser เก่า
    add_header X-XSS-Protection "1; mode=block" always;

    # บอก Browser ให้ใช้ HTTPS เสมอ (ต้องมี SSL ก่อน)
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # ซ่อน Nginx version จาก Header
    server_tokens off;
}

# ทดสอบ Config Syntax (ไม่กระทบ Server ที่รันอยู่)
nginx -t

# ผลลัพธ์ที่ถูกต้องคือ:
# nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
# nginx: configuration file /etc/nginx/nginx.conf test is successful

# Reload (ไม่มี Downtime — Graceful reload)
systemctl reload nginx

# Restart (มี Brief Downtime — ใช้เมื่อจำเป็น)
systemctl restart nginx

# ดู Error Log แบบ Real-time
tail -f /var/log/nginx/error.log

# ดู Access Log แบบ Real-time
tail -f /var/log/nginx/access.log

# ตรวจสอบว่า Backend ทำงานอยู่
systemctl status php8.2-fpm
# หรือสำหรับ Node.js
ps aux | grep node

# ตรวจสอบ Port ที่ Backend ฟังอยู่
ss -tlnp | grep 3000

# ดู Error Log ของ Nginx
tail -100 /var/log/nginx/error.log

# Restart Backend
systemctl restart php8.2-fpm

# ตรวจสอบ Ownership ของไฟล์ใน Document Root
ls -la /var/www/mysite.com/

# แก้ไข Ownership ให้ www-data
chown -R www-data:www-data /var/www/mysite.com/

# ตั้ง Permission: Directory = 755, File = 644
find /var/www/mysite.com/ -type d -exec chmod 755 {} \;
find /var/www/mysite.com/ -type f -exec chmod 644 {} \;

# รันเพื่อดู Error ที่ชัดเจน
nginx -t

# ตัวอย่างข้อผิดพลาดที่พบบ่อย:
# nginx: [emerg] unexpected "}" — ขาดเครื่องหมาย ;
# nginx: [emerg] "server" directive is not allowed here — วาง block ผิดที่
# nginx: [emerg] host not found in upstream — ชื่อ upstream หรือ port ผิด

# ถ้า Config พังและ Nginx หยุดทำงาน ให้ Restore config เดิมก่อน
# แล้วแก้ไขให้ถูกต้องก่อน Start ใหม่

# ตรวจสอบว่า Symlink ถูกสร้างแล้ว
ls -la /etc/nginx/sites-enabled/

# ตรวจสอบ server_name ใน Config ว่าตรงกับโดเมนที่ใช้
grep server_name /etc/nginx/sites-available/mysite.conf

# ลบ default site ถ้าไม่ต้องการ
rm /etc/nginx/sites-enabled/default
nginx -t && systemctl reload nginx