nginx 正向代理 https

问题背景

因为网络环境受限，应用服务器无法直接访问外网，需要前置机上中转一下，这种情况可在应用服务器修改/etc/hosts文件指向前置机，在前置机上的nginx设置四层代理，从而出站。

方案

根据How to Use NGINX as an HTTPS Forward Proxy Server，nginx支持正向代理https，有L7（应用层，使用http connect）和L4（传输层）两种方式，L7和L4对客户端是有感知的，L7代理需要显式设置客户端的代理，L4要修改DNS解析(linux上/etc/hosts文件)，因为我的nginx支持L4代理，使用nginx -V查看加载的模块,加载了以下几个模块即可

• –with-stream
• –with-stream_ssl_module
• –with-stream_ssl_preread_module

博客中的写法

stream {resolver 114.114.114.114;server {listen 443;ssl_preread on;proxy_connect_timeout 5s;proxy_pass $ssl_preread_server_name:$server_port;}
}

但我使用此种方式不行，怀疑$ssl_preread_server_name、$server_port这俩变量有问题，写死域名和端口后就好了。注意：stream块与http块是平级的，切勿嵌套。

http{//something else
}
stream {server {listen 443;ssl_preread on;proxy_pass www.baiducom:443;}
}

测试SSL时，可使用openssl s_client，详情可参考openssl s_client工具详解

openssl s_client -connect www.baidu.com:443 -debug

或者

openssl s_client -connect www.baidu.com:443 -msg

或者curl https://some.domain.com/some/path -v

上述解决方案只访问一个域名可以写死，如果访问多个域名该怎么办？老海给出了答案，也可参考官方文档Module ngx_stream_ssl_preread_module样例

stream {map $ssl_preread_server_name $target {a.com a-network;b.com b-network;}upstream a-network {server a.com:443;}upstream b-network {server b.com:443;}server {listen 443;ssl_preread on;proxy_pass $target;}

客户端访问a.com，最终会代理到upstream a-network块中的 a.com:443

思考

经同事提醒，同一个nginx不能同时正向和反向代理443端口；想想为什么？