Разбор кейса

HTTPS-туннель к Proxmox/NAS: почему HTTP «зацикливается»

Настоящий кейс: туннель к Proxmox отвечал бесконечным редиректом. Что происходит на самом деле и как правильно.

Симптом

Настроил туннель к Proxmox (192.168.31.20:8006) обычным HTTP-туннелем. Открываешь адрес — браузер крутится «страница не отвечает», а в логах: 301 → тот же URL → 301 → тот же URL → бесконечно.

Причина

Proxmox сам всегда отвечает по HTTPS (со самоподписанным сертификатом). Обычный HTTP-запрос, который пришёл через HTTP-туннель, Proxmox не принимает — отвечает «301, идите на этот же адрес, но по HTTPS». Браузер идёт туда… а HTTPS-соединение снова приходит через тот же HTTP-туннель — цикл никогда не кончается.

Под ту же логику попадают: Synology DSM (если включён HTTPS), admin-панели роутеров (MikroTik, pfSense), камеры/NVR со своим SSL.

Признак, по которому всё понятно: если сервис в твоей локальной сети ты открываешь по адресу https://... и браузер ругается на сертификат — значит, для него нужен туннель типа HTTPS (не HTTP).

Решение: тип туннеля HTTPS

При создании туннеля выбери тип HTTPS: агент будет сам ходить к твоему сервису по TLS (end-to-end), наш сервер разрулит входящие соединения. Настройку меняешь в кабинете — пересоздавать туннель не нужно, просто смени тип у существующего.

  1. Кабинет → карточка туннеля → «Изменить» → тип HTTPS.
  2. Локальный адрес оставляешь тем же, включая порт с SSL (8006 у Proxmox).
  3. Агент перечитает конфиг сам (в течении 30 секунд), рестарт не нужен.
Про предупреждение в браузере: при открытии вы увидишь предупреждение о самоподписанном сертификате твоего сервиса — это нормально для HTTPS-туннеля: TLS идёт end-to-end, наш wildcard-сертификат терминируется раньше. Bruce-безопасность полностью сохранена — канал от браузера до твоей машины закрыт всю дорогу.

Какие сервисы требуют HTTPS-туннель (типичные)

  • Proxmox — порт 8006.
  • Synology DSM / QNAP — если в NAS включён стандартный HTTPS (:5001/443).
  • админка роутера (MikroTik, pfSense) — по HTTPS.
  • IP-камеры/NVR — часто свой SSL на 443.

Наоборот — если сервис в локальной сети без SSL (nginx, Node, python-панель), используй HTTP. Служебное правило: как открываешь из домашней сети — так и туннель.

Частые вопросы

Можно купить нормальный серт для Proxmox?
Можно, но обычно не надо: после включения HTTPS-туннеля предупреждение появляется один раз на сервис (можно добавить исключение). Если очень хочется, поставь свой домен на туннель и терминируй SSL нашим сертификатом — предупреждение исчезнет полностью.
HTTPS-туннель медленнее?
Разница в пределах «не замечаешь»: тем же каналом и тем же агентом, только ещё один слой TLS (свой, на твоей стороне).

Настроить туннель к Proxmox   Свой домен   Все гайды