Прокси к зарубежным ИИ-API через свой VPS

Ваш код на российском IP не может достучаться до api.openai.com или api.anthropic.com. Reverse-прокси на зарубежном VPS решает это элегантно: приложения ходят на ваш домен, а сервер уже переправляет запросы к провайдеру.

Зачем нужен прокси, а не VPN на каждой машине

VPN хорош для браузера, но неудобен для инфраструктуры: серверы приложений, CI, боты и n8n не хочется заворачивать целиком в туннель. Гораздо чище выставить один reverse-прокси, через который ходят только запросы к ИИ.

Схема простая: приложение обращается к https://ai.вашдомен.ру/openai/..., ваш nginx на зарубежном VPS проксирует это на api.openai.com. Ключ API можно хранить на сервере, не раздавая его клиентам.

Для аудитории из России у такого прокси есть отдельная ценность. Многие библиотеки, боты и no-code платформы жёстко зашивают адрес api.openai.com и не умеют ходить через системный VPN. Подменив base_url на ваш домен, вы заставляете их работать из РФ без единой строчки в коде самого приложения — весь «обход блокировки» происходит на стороне сервера.

• Единая точка входа для всех проектов.
• Централизованный ключ и логи.
• Легко сменить провайдера, не трогая приложения.

Есть и эксплуатационный плюс: когда доступ к ИИ спрятан за одним доменом, вы контролируете его в одном месте. Нужно временно отключить сервис, добавить кэширование или лимит запросов — правится один конфиг, а не десяток приложений. А для аудитории из РФ это ещё и способ дать доступ к ИИ приложениям, которые сами по себе никак не умеют ходить через зарубежный IP.

Базовый reverse-прокси на nginx

Ставим nginx на зарубежный VPS (у MAATRIX локации UK, US и RU подходят под OpenAI и Anthropic; железо AMD EPYC + NVMe держит стриминг без задержек):

apt update && apt install -y nginx
systemctl enable --now nginx

Конфиг /etc/nginx/sites-available/ai-proxy:

server {
    listen 80;
    server_name ai.example.ru;

    location /openai/ {
        proxy_pass https://api.openai.com/;
        proxy_set_header Host api.openai.com;
        proxy_ssl_server_name on;
    }

    location /anthropic/ {
        proxy_pass https://api.anthropic.com/;
        proxy_set_header Host api.anthropic.com;
        proxy_ssl_server_name on;
    }
}

Активируем и перезагружаем:

ln -s /etc/nginx/sites-available/ai-proxy /etc/nginx/sites-enabled/
nginx -t && systemctl reload nginx

HTTPS через Let's Encrypt

Без TLS ключи API полетят по сети открытым текстом. Ставим бесплатный сертификат:

apt install -y certbot python3-certbot-nginx
certbot --nginx -d ai.example.ru --agree-tos -m you@mail.ru --redirect

Certbot сам пропишет 443-й порт и настроит автопродление. Проверьте таймер:

systemctl status certbot.timer

Проверка и использование из кода

Проверяем прокси curl-ом:

curl https://ai.example.ru/openai/v1/models \
  -H "Authorization: Bearer $OPENAI_API_KEY"

В коде достаточно поменять base_url. Пример на Python SDK OpenAI:

from openai import OpenAI
client = OpenAI(base_url="https://ai.example.ru/openai/v1",
                api_key="sk-...")
print(client.models.list())

Теперь любое приложение с российского IP работает с ИИ через ваш шлюз, не зная про блокировки.

Стриминг и таймауты

ИИ-ответы часто идут потоком (SSE) — токен за токеном. По умолчанию nginx буферизует ответ, и пользователь видит его целиком в конце, а не по мере генерации. Отключите буферизацию и поднимите таймауты для длинных ответов:

location /openai/ {
    proxy_pass https://api.openai.com/;
    proxy_ssl_server_name on;
    proxy_buffering off;
    proxy_read_timeout 300s;
    chunked_transfer_encoding on;
}

Без этих настроек длинные генерации будут обрываться по таймауту, а стриминг в чат-интерфейсах — «залипать». С ними прокси ведёт себя как прямое соединение с провайдером.

Защита прокси и типичные ошибки

Открытый прокси быстро найдут боты. Закройте его простым токеном — проверяйте заголовок в nginx:

location /openai/ {
    if ($http_x_gate_key != "ваш-секрет") { return 403; }
    proxy_pass https://api.openai.com/;
    proxy_ssl_server_name on;
}

• 502 Bad Gateway — почти всегда забыт proxy_ssl_server_name on;.
• SSL-ошибки — не задан proxy_set_header Host с реальным доменом провайдера.
• Стриминг обрывается — добавьте proxy_buffering off; для SSE-ответов.

Частые вопросы