多服务部署最容易踩的坑，就是每个 Web 项目都想占用 80 或 443。正确做法是只让一个入口服务占住公网 HTTP/HTTPS 端口，其余项目全部使用自己的内部端口，然后根据域名转发。

原教程要求准备一台 VPS、远程 SSH 工具和 Cloudflare 域名解析，并强调“每一个项目解析一个域名”。原文写的是 Debian 10+ / Ubuntu 22.04+；如果现在重新搭建，建议直接使用 Debian 11/12 或 Ubuntu 22.04/24.04。

原教程使用的是一个第三方 Dockge 一键脚本：

sudo apt install git -y && \
git clone https://github.com/slobys/dockge.git && \
cd dockge && \
chmod +x dockge.sh && \
./dockge.sh

如果你更希望跟随 Dockge 当前官方仓库，官方标准安装方式如下，默认栈目录是 /opt/stacks，Web 端口为 5001：

mkdir -p /opt/stacks /opt/dockge
cd /opt/dockge

curl https://raw.githubusercontent.com/louislam/dockge/master/compose.yaml \
  --output compose.yaml

docker compose up -d

这是整套架构最关键的入口服务。原教程给出的 Compose 与 NPM 当前官方 Quick Setup 基本一致：

services:
  app:
    image: 'jc21/nginx-proxy-manager:latest'
    restart: unless-stopped
    ports:
      - '80:80'
      - '81:81'
      - '443:443'
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt

在 Dockge 中如果把这个 Stack 命名为 npm，并且栈目录沿用默认 /opt/stacks，那么宿主机证书数据通常位于 /opt/stacks/npm/letsencrypt。原教程特别记录了证书目录：

/opt/stacks/npm/letsencrypt/archive

原教程把 MyIP 映射到宿主机 18966：

services:
  myip:
    image: jason5ng32/myip:latest
    container_name: myip
    restart: always
    ports:
      - "18966:18966"
    environment:
      ALLOWED_DOMAINS: "ip.example.com"
      # GOOGLE_MAP_API_KEY: "你的GoogleMapKey"

原教程将 IT-Tools 的容器 80 映射到宿主机 8088：

services:
  it-tools:
    image: corentinth/it-tools:latest
    container_name: it-tools
    restart: unless-stopped
    ports:
      - "8088:80"

这和 IT-Tools 官方自托管方式一致，只是官方示例通常使用宿主机 8080；端口左侧可以按你的服务器实际情况自由调整。

进入 NPM 后依次创建 Proxy Host。原教程特别提醒：Forward Port 必须填写对应项目的映射端口。

NPM 的基本配置流程：

• Domain Names 填对应子域名。
• Scheme 如果后端本身没有 TLS，一般选 http。
• Forward Hostname / IP 填后端可以被 NPM 容器访问到的地址。
• Forward Port 填项目实际端口。
• SSL 页面申请 Let's Encrypt 证书，并开启 Force SSL。

services:
  app:
    image: 'jc21/nginx-proxy-manager:latest'
    extra_hosts:
      - "host.docker.internal:host-gateway"

原 HTML 正文在这一段只提供了官方安装脚本，没有继续写面板反向代理与证书设置：

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

安装完成后先运行：

x-ui

通过菜单查看当前面板端口、Web Base Path 等设置。当前 3X-UI 官方文档中的默认 webPort 是 2053，但实际安装后应以你的当前设置为准。

3X-UI 当前官方文档明确支持把面板放到 Nginx / Caddy 等反向代理后面，并让代理层负责 HTTPS。面板使用 WebSocket 做实时更新，所以代理需要正确处理 WebSocket Upgrade。

在 NPM 新建 Proxy Host，例如：

SSL 页面选择 Request a new SSL Certificate，申请成功后开启 Force SSL。这样公网访问链路就是：

浏览器 HTTPS :443
        |
        v
Nginx Proxy Manager
        |
        | HTTP（服务器内部）
        v
3X-UI :2053

如果你不想让 NPM 终结 TLS，也可以让 3X-UI 直接读取证书。当前官方文档提供的方式是进入 x-ui 菜单，选择 SSL 相关功能申请证书。域名证书会保存到：

/root/cert/<你的域名>/fullchain.pem
/root/cert/<你的域名>/privkey.pem

然后在 Panel Settings 里把：

两个路径都设置后，3X-UI 面板自身就会提供 HTTPS。

• 每个服务使用独立域名，DNS 都指向同一台服务器。
• NPM 是唯一主要的公网 Web 入口。
• NPM、Dockge、3X-UI 管理后台使用强密码和非默认访问路径。
• 3X-UI 的 WebSocket 代理工作正常。
• HTTPS 证书已经生效，并确认自动续期方案。
• Compose 数据目录已经做持久化和备份。