ky0

Кто такой "текущий пользователь"? Какой-то человек, который заходит в интерактивном режиме на сервер по SSH/FTP и трогает файлы?

В таком случае нужно не его добавлять в техническую группу www-data - потому что это может дать ему доступ к общим конфигам и возможности рулить сервисами, а наоборот - www-data добавить в группу пользователя, чтобы веб-сервер и РНР могли трогать его файлы, но не наоборот.

можно-ли как-то настроить проксирование на второй порт, пробовал добавить второй локейшн, но это не работает.

Можно, именно так это и работает - в разных серверных блоках/локейшенах указываете разные proxy_pass`ы. Пробуйте ещё.

Вы маппите другой порт наружу - а внутри-то он остаётся 9000.