XDA’nın CGNAT’ı aşmak için VPS kiralama konusundaki yazısı, self-hosted reverse proxy’lerin ev ölçeğinde altyapı haline gelmiş olduğu bir döneme denk geliyor. Proxy ister bir NAS’ta, eski bir mini bilgisayarda ister 5 dolarlık bir VPS köprüsünde olsun, temel ilke aynı: trafik 443 portuna gelir, hostname’e göre sıralanır ve doğru iç servise ulaşır. 2020’den beri yaşanan iki büyük değişim: auto-HTTPS ne kadar kolay hale geldiği (Let’s Encrypt artı Caddy/NGINX/Traefik ekosistemi sertifikaları rutin bir iş haline getirdi) ve bu tekniğin kullanıcı tabanının ne kadar genişlediği. Jellyfin, Vaultwarden, Home Assistant ve Immich çalıştıran ev ağları bu katmana ihtiyaç duyuyor.
2026’da masaüstü için self-hosted reverse proxy’nin en iyi 7 uygulamasını test ettik; Linux, Windows ve macOS’u kapsamaktadır. Kıstasımız spesifikti: temiz bir Debian kutusuna yükle, üç servisi HTTPS üzerinden otomatik yenilenen sertifikalarla yönlendir ve bir yeniden başlatmanın ardından çalışmaya devam et. Aşağıdaki 7’nin tamamı bu kriteri karşıladı.
Self-hosted reverse proxy’de ne aramalı
İşlevsel bir sistemle bir yıllık YAML başağrısı arasındaki farkı yaratan kriterler:
- Auto-HTTPS. 2026’da bir proxy, Let’s Encrypt’ten (veya ZeroSSL, veya Buypass’ten) manual cron olmadan sertifika alır. Varsayılan HTTPS olmalı, bir checkbox değil.
- HTTP/2 ve HTTP/3. İkisi de artık zorunlu. Özellikle HTTP/3, ISS’nin TCP performansının asimetrik olduğu ev ağlarında yardımcı olur.
- Altı ay sonra okuyabileceğiniz bir konfigürasyon modeli. YAML, JSON, Caddyfile, NGINX tarzı, hatırlayacağınız dili seçin. Geçen hafta yazmadığınız kuralı kırdığında da.
- Docker farkındalığı veya servis keşfi. Docker daemon’u, Kubernetes’i veya Consul’u izleyen ve yeni servisleri otomatik olarak ekleyen bir proxy, meşgul bir ev ağının ihtiyaç duyduğu otomasyon türü.
- CGNAT arkasından proxy’yi açığa çıkarmanın bir yolu. Ya herkese açık bir VPS köprüsü, bir Tailscale Funnel, bir Cloudflare Tunnel ya da kendi Pangolin/WireGuard hopunuz. XDA yazısı bu kısmı açıkça anlattı.
Hızlı karşılaştırma
| Uygulama | En iyisi | Konfigürasyon tarzı | Auto-HTTPS | Başlangıç fiyatı |
|---|---|---|---|---|
| NGINX Proxy Manager | Başlangıç seviyesi arayüz | NGINX üzerine Web UI | Evet, yerleşik | Ücretsiz |
| Caddy | Varsayılan auto-HTTPS | Caddyfile (basit) | Evet, varsayılan | Ücretsiz |
| Traefik | Docker-native dinamik yönlendirme | YAML / labels | Evet, ACME | Ücretsiz, Enterprise katmanı var |
| NGINX | Saf klasik performans | nginx.conf | Manual (Certbot, acme.sh) | Ücretsiz, Plus yıllık 2.500$‘dan başlayan |
| HAProxy | Yük dengeleme + proxy | haproxy.cfg | Manual veya Lua eklentileri | Ücretsiz, Enterprise katmanı var |
| SWAG | NGINX + Let’s Encrypt ön ayar | Docker’daki NGINX konfigleri | Evet, certbot | Ücretsiz |
| Pangolin | Self-hosted tünel + proxy | Web UI | Evet | Ücretsiz |
Self-hosted reverse proxy için 7 en iyi uygulama
1. NGINX Proxy Manager, en iyi başlangıç seviyesi arayüz
NGINX Proxy Manager, NGINX’i bir web arayüzüne sarmalayarak “bir domain ekle, iç servise işaret et, Let’s Encrypt sertifikası al” işlemini üç form alanının doldurulması haline dönüştürür. Tek bir Docker konteyner olarak SQLite veya MySQL arka ucuyla çalışır. Her proxy host veritabanında bir satırdır; arayüz arka planda NGINX konfigürasyon oluşturur. 2026’da self-hosted reverse proxy için NPM, HTTPS’yi Jellyfin ve Vaultwarden için isteyip de NGINX sözdizimini öğrenmek istemeyen ev self-hoster’ı için doğru seçim.
Eksik olduğu yerler: Web arayüzü, altında yatan NGINX konfigürasyon gizler ki bu genellikle iyidir, ta ki arayüzün açığa koymadığı bir özelliğe ihtiyaç duyana kadar. İleri kullanıcılar genellikle saf NGINX veya Caddy’ye geçerler. Varsayılan kurulum HTTP/3’ü kutudan çıkar durumda etkinleştirmez.
Fiyatlandırma:
- Ücretsiz: Tüm özellikler, MIT lisansı
- Ücretli: Yok
- Platformlar: Linux (Docker), Windows (Docker Desktop), macOS (Docker Desktop)
Sonuç: Başlangıç seçimi. Bu sizin ilk reverse proxy’niz ise NGINX Proxy Manager’ı yükleyin ve bunu yapan bir şeyin sizi itmesine kadar bakmayın.
2. Caddy, auto-HTTPS varsayılan için en iyi
Caddy, varsayılan davranış olarak auto-HTTPS’ye sahip modern web sunucusu ve reverse proxy. Üç satırlık bir Caddyfile, Let’s Encrypt sertifikası, HTTP/2, HTTP/3 ve HSTS ile bir reverse proxy kurar. 2024’teki 2.8 sürümü, talep üzerine TLS el sıkışmasını keskinleştirdi; 2.9 serisi geliştirilmiş HTTP/3 taşımasını getirdi. 2026’da self-hosted reverse proxy için Caddy, konfigürasyon dili çalışma zamanı kadar önemli olduğunda doğru seçim.
Eksik olduğu yerler: Caddy eklenti ekosistemi, NGINX’in kadar derin değil. Bazı gelişmiş yönlendirmeler (coğrafi IP, karmaşık yazmaçlar) eklentileri derlemek için xcaddy’ye ihtiyaç duyar, bu küçük bir adımdır ama bir adımdır.
Fiyatlandırma:
- Ücretsiz: Tüm özellikler, Apache-2
- Ücretli: Yok
- Platformlar: Linux, Windows, macOS, FreeBSD
Sonuç: İki yıl sonra da temiz şekilde okuyacağınız bir konfigürasyon dosyası istediğinizde seçim.
3. Traefik, Docker-native dinamik yönlendirme için en iyi
Traefik, konteyner çağı için inşa edilmiş reverse proxy. Traefik’i Docker daemon’una yönlendir, servis konteynerlerine etiketler ekle ve Traefik onları keşfeder, rotalar oluşturur ve Let’s Encrypt sertifikalarını otomatik olarak sağlar. Aynı model Kubernetes (Ingress), Consul ve ECS için de işe yarar. 2026’da self-hosted reverse proxy için Traefik vs NGINX: Docker ev ağlarında otomatik servis keşfinde Traefik kazanır; saf verimlilik ve yapılandırılabilirlikte NGINX kazanır.
Eksik olduğu yerler: Konfigürasyon modeli dokunmadan dokümantasyonu okumayı gerektirir. YAML, dosya sağlayıcılar, etiket tabanlı dinamik sağlayıcılar ve statik-vs-dinamik konfigürasyon bölünmesi, şeyler tıklamadan önce hepsi anlaşılmalıdır. Web panosu salt okunurdur.
Fiyatlandırma:
- Ücretsiz: Tüm özellikler (Traefik Proxy v3)
- Ücretli: Traefik Enterprise RBAC ve HA ekler, fiyatlandırma talep üzerine
- Platformlar: Linux, Windows, macOS
Sonuç: Yığının çoğunlukla Docker olduğunda ve proxy’nin servisleri otomatik olarak takip etmesini istediğinizde seçin.
4. NGINX, saf klasik performans için en iyi
NGINX, iki on yıldır herkese açık web’i çalıştıran reverse proxy. Konfigürasyon nginx.conf ve bir sunucu bloğu dizin ağacıdır. Auto-HTTPS, Certbot veya acme.sh aracılığıyla gelir, tek seferlik kurulum, sonra sessizce yenilenir. NGINX, bir ev ağının asla görmeyeceği trafik hacimlerine ölçeklenir ve dokümantasyon kategoride en kapsamlı olanıdır. 2026’da NGINX vs Caddy: NGINX ekosistem derinliğinde kazanır, Caddy ilk HTTPS’ye ulaşmada kazanır.
Eksik olduğu yerler: Manual sertifika kurulumu. nginx.conf dili kendi lehçesidir. Sunucu bloğundaki hatalar NGINX’in başlamasını durdurur, ilk kez yaptığınızda birkaç dakika kayıp olur.
Fiyatlandırma:
- Ücretsiz: NGINX Open Source
- Ücretli: NGINX Plus yıllık 2.500$‘dan başlayan (self-hosting için nadiren gerekli)
- Platformlar: Linux, Windows, macOS, FreeBSD
Sonuç: Proxy’nin aynı konfigürasyon ile on yıl yaşaması gerektiğinde ve sözdizimini öğrenmekte sakınca görmediğinizde seçin.
5. HAProxy, yük dengeleme + proxy için en iyi
HAProxy, 2002 yılından beri yüksek trafikli dağıtımlar için fiili yük dengeleme standardı ve başarılı bir şekilde reverse proxy olarak hizmet eder. 2024’teki 3.0 LTS sürümü güncellenmiş bir SSL yığını ve geliştirilmiş HTTP/3 işleme ekledi. Lua betikleme ve Stick Tables, diğer proxy’lerin harici hizmetler gerektirdiği özellikleri oluşturmanıza izin verir. 2026’da self-hosted reverse proxy için HAProxy, ev ağının aynı servisin çoklu örneklerini çalıştırdığı ve proxy’nin bunlar arasında denge halinde olması gerektiğinde doğru seçim.
Eksik olduğu yerler: Auto-HTTPS manual veya Lua eklentileri aracılığıyladır, yerleşik değil. Konfigürasyon sözdizimi kendi dilidir. Çoğu self-hoster, HAProxy’nin yük dengeleme derinliğine ihtiyaç duymaz.
Fiyatlandırma:
- Ücretsiz: HAProxy Community Edition
- Ücretli: HAProxy Enterprise, fiyatlandırma talep üzerine
- Platformlar: Linux, FreeBSD, macOS, Windows (topluluk derlemeleri)
Sonuç: Denge halinde olması gereken bir servisin çoklu örnekleriniz olduğunda seçin. Aksi halde NGINX veya Caddy daha basit cevaptır.
6. SWAG, NGINX + Let’s Encrypt ön ayar için en iyi
SWAG (Secure Web Application Gateway), LinuxServer.io’nun NGINX’i Certbot, şablon sistemi ve popüler self-hosted hizmetler için topluluk tarafından yönetilen sunucu bloğu örnekleri dizini ile paketleyen önceden oluşturulmuş Docker görüntüsüdür. Konteyner çalıştır, etki alanınıza yönlendir, doğru örneği etkin konfigürasyona kopyala ve bir saat içinde Jellyfin, Nextcloud, Vaultwarden veya başka bir şey için HTTPS’ye sahip olun. 2026’da SWAG vs NPM: SWAG saf NGINX konfiglarını açığa çıkarır, NPM onları bir arayüzün arkasında gizler.
Eksik olduğu yerler: NGINX konfiglarını elle düzenleme. LinuxServer topluluğu ün salmış şekilde yardımcıdır ama dokümantasyon bazı Docker aşinalığını varsayar. Görüntü çok şey içerir, DuckDNS, fail2ban, Authelia entegrasyonu, isteyebileceğiniz veya istemeyebileceğiniz.
Fiyatlandırma:
- Ücretsiz: Tüm özellikler
- Ücretli: Yok
- Platformlar: Linux (Docker)
Sonuç: NGINX’in esnekliğini ve popüler self-hosted hizmetler için önceden yazılı konfigürasyon dizinini istediğinizde seçin.
7. Pangolin, self-hosted tünel + reverse proxy için en iyi
Pangolin, Cloudflare Tunnel’in daha yeni self-hosted cevabı: 5 dolarlık bir VPS’de çalışan bir reverse proxy, ev ağınızı geri ona bağlayan bir WireGuard tüneli ve rotaları yönetmek için bir web arayüzü. 2025’teki 1.0 sürümü Authelia/Authentik ile SSO, IaC kullanıcıları için bir API ve geliştirilmiş izleme ekledi. 2026’da self-hosted reverse proxy için Pangolin, ev bağlantısı CGNAT arkasında olduğunda ve tünel hop dahil her şeyi self-hosted tutmak istediğinizde doğru seçim.
Eksik olduğu yerler: Diğer altıdan daha küçük topluluk. Mimari (VPS + tünel + ev proxy) tek bir NGINX konteynırından daha fazla hareketli parça. Bazı gelişmiş NGINX özellikleri daha uzun süre alır.
Fiyatlandırma:
- Ücretsiz: AGPL-3 altında açık kaynak
- Ücretli: Yok
- Platformlar: Linux (Docker)
Sonuç: CGNAT gerçek sorun olduğunda ve tünel hopa Cloudflare’ye güvenmek istemediniz seçin.
Doğru olanı seçme
- Bu sizin ilk reverse proxy’niz ve bir GUI istiyorsanız: NGINX Proxy Manager.
- Varsayılan olarak auto-HTTPS istiyorsanız ve temiz okuduğunuz bir config istiyorsanız: Caddy.
- Yığının çoğunlukla Docker ise ve servis keşfi istiyorsanız: Traefik.
- Saf NGINX istiyorsanız hiçbir abstraksiyon olmadan: NGINX.
- Dengelenecek aynı servisin çoklu örnekleriniz varsa: HAProxy.
- NGINX artı self-hosted hizmetler için önceden yazılı konfigürasyon dizini istiyorsanız: SWAG.
- CGNAT gerçek sorun ise ve self-hosted bir tünel istiyorsanız: Pangolin (ve küçük bir VPS).
2026’da CGNAT’a bağlı bir ev ağı için işlevsel bir yığın, 5 dolarlık bir VPS’de Pangolin, arkasında Caddy veya NPM, hizmetler yalnızca Tailscale üzerinden açığa çıkarılmış ve ev ağını bağlı tutan bir WireGuard tüneline sahip. Bunlar karşılıklı olarak dışlayıcı değildir; isimler sadece rollerini oynamalıdır.
SSS
En kolay kurulacak reverse proxy hangisi?
NGINX Proxy Manager. Host başına üç form alanı kurulumu, otomatik Let’s Encrypt ve web arayüzü. Caddy bir pano tıklamalarından ziyade Caddyfile düzenlemeyi tercih ederseniz yakın bir ikinci seçimdir.
Ev bağlantımın herkese açık bir IP’ye ihtiyacı var mı?
Doğrudan erişilebilir bir reverse proxy için, evet. ISS’niz size CGNAT adresi verirse (herkese açık IP yok), servisleri açığa çıkarmak için bir tünel, Cloudflare Tunnel, Tailscale Funnel veya küçük bir VPS ile self-hosted Pangolin kurulumuna ihtiyacınız vardır. XDA bu ayın yazısı tam bu durumu açıklıyor.
Caddy SSL yenilemeleri otomatik olarak nasıl işler?
Caddy bir ACME istemcisiyle gelir. Bir hostname ilk istendiğinde, Caddy Let’s Encrypt’e (veya ZeroSSL’e veya Buypass’a) ulaşır, sahipliği bir HTTP-01 veya TLS-ALPN-01 challenge ile kanıtlar ve sertifikayı yerel olarak saklarır. Yenileme, herhangi bir müdahale olmadan süresi dolmadan 30 gün önce gerçekleşir.
Bir Raspberry Pi’de reverse proxy çalıştırabilirim mi?
Evet. Bu yedinin tamamı Pi 4 veya Pi 5 üzerinde rahat çalışır. Pangolin, NPM ve SWAG tipik olarak Docker konteynerları olarak dağıtılır ve RAM’in 200 MB’ından azını tüketir. NGINX ve Caddy ayrıca Pi OS’ta yerel olarak da çalışabilir.
Bunun yerine Cloudflare Tunnel kullanmalı mıyım?
Cloudflare Tunnel mükemmeldir ve bireyler için ücretsizdir, ancak trafiğinizi Cloudflare’de yönlendirir. Cloudflare’yi tercih etmeyen ev ağları için Pangolin veya kendi Wireguard-to-VPS hopunuz Cloudflare’siz eşdeğerdir.
Bir reverse proxy ile yük dengeleme arasındaki fark nedir?
Reverse proxy, bir veya daha fazla arka uç servisin önünde oturur ve istekleri hostname veya yola dayalı olarak iletir. Yük dengeleme özellikle istekleri aynı servisin birden fazla örneği arasında dağıtır. HAProxy ve NGINX her ikisi de olabilir; NPM ve Caddy esas olarak temel yük dengeleme özellikleri olan reverse proxy’lerdir.
