使用上游SSL将Nginx配置为反向代理

40

我尝试将Nginx服务器配置为反向代理，以便它从客户端收到的https请求也通过https转发到上游服务器。

这是我使用的配置：

http {

    # enable reverse proxy
    proxy_redirect              off;
    proxy_set_header            Host            $http_host;
    proxy_set_header            X-Real-IP       $remote_addr;
    proxy_set_header            X-Forwared-For  $proxy_add_x_forwarded_for;

    upstream streaming_example_com 
    {
          server WEBSERVER_IP:443; 
    }

    server 
    {
        listen      443 default ssl;
        server_name streaming.example.com;
        access_log  /tmp/nginx_reverse_access.log;
        error_log   /tmp/nginx_reverse_error.log;
        root        /usr/local/nginx/html;
        index       index.html;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  10m;
        ssl_certificate /etc/nginx/ssl/example.com.crt;
        ssl_certificate_key /etc/nginx/ssl/example.com.key;
        ssl_verify_client off;
        ssl_protocols        SSLv3 TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers RC4:HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;


        location /
        {
            proxy_pass  https://streaming_example_com;
        }
    }
}

无论如何，当我尝试使用反向代理访问文件时，这是我在反向代理日志中得到的错误：

2014/03/20 12:09:07 [错误] 4113079＃0：* 1 SSL_do_handshake（）失败（SSL：错误：1408E0F4：SSL例程：SSL3_GET_MESSAGE：意外消息），同时向上游进行SSL握手，客户端：192.168.1.2，服务器：streaming.example.com，请求：“ GET /publishers/0/645/_teaser.jpg HTTP / 1.1”，上游：“ https://MYSERVER.COM:443/publishers/0/645/_teaser.jpg ” ，主持人：“ streaming.example.com”

知道我在做什么错吗？

nginx ssl reverse-proxy

— 亚历克斯·弗洛（Alex Flo）
source

您是否尝试不使用upstream模块，而是直接将WEBSERVER_IP放在proxy_pass指令中以查看是否出现相同的错误？

— Benoit 2014年

不，我没有尝试过，但是如下所述，该选项proxy_ssl_session_reuse off;使它按预期工作。

— Alex Flo

10

请从受支持的协议中删除SSLv3。它不安全，您不应使用它：ssl_protocols SSLv3

— user220703

30

我发现了什么错误，我需要添加 proxy_ssl_session_reuse off;

— 亚历克斯·弗洛（Alex Flo）
source

1

谢谢。对于那些在使用此配置后仍然可能出现问题的人，请记住使用https代替在proxy_pass中作为参数指定的URL开头仅使用http。否则，nginx将不会对发送到上游的流量进行加密，并且您仍然会收到相同的错误消息。

— Lucio Mollinedo

1

就我而言，我试图反向代理Cloudflare背后的网站。我在中遇到了相同的错误/var/log/nginx/error.log。我尝试了许多解决方案，而这个解决方案对我有用：

proxy_ssl_server_name on;

是的，即使是在2019年，现在某些服务仍需要SNI才能区分托管站点。

— iBug
source