Nginx proxy_pass如何到https后端

夷希微致中

Nginx proxy_pass到https后端

使用SSL/TLS加密，确保NGINX或NGINX Plus与上游服务器之间的HTTP流量安全。
本文解释了如何加密NGINX和上游组或代理服务器之间的HTTP流量。

生成证书（自签名证书需要）

生成自签名CA证书。

1. openssl genrsa -out ca.key 2048
   
2. openssl req -new -key ca.key -out ca.csr
   
3. openssl x509 -req -sha256 -days 365 -in ca.csr -signkey ca.key -out ca.crt

复制代码

生成客户端证书和密钥。

1. openssl genrsa -out client.key 2048
   
2. openssl req -new -key client.key -out client.csr
   
3. openssl x509 -req -sha256 -days 365 -in client.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out client.crt

复制代码

生成服务器证书和密钥。

1. openssl genrsa -out server.key 2048
   
2. openssl req -new -key server.key -out server.csr
   
3. openssl x509 -req -sha256 -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt

复制代码

配置NGINX

1. http {
   
2.     #...
   
3.     upstream backend.example.com {
   
4.         server backend1.example.com:443;
   
5.         server backend2.example.com:443;
   
6.    }
   
7. 
   
8.     server {
   
9.         listen      80;
   
10.         server_name www.example.com;
    
11.         #...
    
12. 
    
13.         location /upstream {
    
14.             proxy_pass                    https://backend.example.com;
    
15.             # 连接上游服务器时，供上游服务器验证的证书
    
16.             proxy_ssl_certificate         /etc/nginx/client.pem;
    
17.             proxy_ssl_certificate_key     /etc/nginx/client.key;
    
18.             proxy_ssl_protocols           TLSv1 TLSv1.1 TLSv1.2;
    
19.             proxy_ssl_ciphers             HIGH:!aNULL:!MD5;
    
20.             # // 验证上游服务器时，使用的ca证书
    
21.             proxy_ssl_trusted_certificate /etc/nginx/trusted_ca_cert.crt;
    
22. 
    
23.             proxy_ssl_verify        on;
    
24.             proxy_ssl_verify_depth  2;
    
25.             # 每次连接都需要完整的ssl握手，消耗cpu较大，加上此参数，可以复用连接，减少握手次数
    
26.             proxy_ssl_session_reuse on;
    
27.             proxy_ssl_server_name  on;
    
28.             # 次参数不是太懂
    
29.             proxy_ssl_name backend.example.com;
    
30.         }
    
31.     }
    
32. 
    
33.     server {
    
34.         listen      443 ssl;
    
35.         server_name backend1.example.com;
    
36. 
    
37.         ssl_certificate        /etc/ssl/certs/server.crt;
    
38.         ssl_certificate_key    /etc/ssl/certs/server.key;
    
39.         # 验证客户端使用的CA证书
    
40.         ssl_client_certificate /etc/ssl/certs/ca.crt;
    
41.         # 开启验证客户端
    
42.         ssl_verify_client      on;
    
43. 
    
44.         location /yourapp {
    
45.             proxy_pass http://url_to_app.com;
    
46.         #...
    
47.         }
    
48. 
    
49.     server {
    
50.         listen      443 ssl;
    
51.         server_name backend2.example.com;
    
52. 
    
53.         ssl_certificate        /etc/ssl/certs/server.crt;
    
54.         ssl_certificate_key    /etc/ssl/certs/server.key;
    
55.         ssl_client_certificate /etc/ssl/certs/ca.crt;
    
56.         ssl_verify_client      on;
    
57. 
    
58.         location /yourapp {
    
59.             proxy_pass http://url_to_app.com;
    
60.         #...
    
61.         }
    
62.     }
    
63. }

复制代码

官网链接
官网文档

Nginx proxy_pass后出现部分请求404

有一个后端服务，地址是

1. http://127.0.0.1:8888/web-test/

复制代码

nginx 配置如下：

1.     location ^~ /web-test/ {
   
2.         proxy_pass http://127.0.0.1:8888;
   
3.     }

复制代码

访问

1. http://ip:port/web-test/

复制代码

是正常的
但我想改写成访问

1. http://ip:port/test/

复制代码

替代访问

1. http://ip:port/web-test/

复制代码

nginx 配置如下：

1. location ^~ /test/ {
   
2.     proxy_pass http://127.0.0.1:8888/web-test/;
   
3. }

复制代码

重写后访问

1. http://ip:port/test/

复制代码

后出现问题，看到请求下面的 静态资源URL 都返回 404，也就是说页面的静态资源发起的请求还是访问了原来的 /web-test 路由

1. http://127.0.0.1:8888/web-test/resource/...
   
2. http://127.0.0.1:8888/web-test/image/...
   
3. http://127.0.0.1:8888/web-test/system/...
   
4. http://127.0.0.1:8888/web-test/其他 URI/...

复制代码

这种情况 nginx 要怎样配置重写规则？访问

1. http://ip:port/test/

复制代码

能返回正常的请求

解决办法

1、

1. location ^~ /test/ {
   
2.     proxy_pass http://127.0.0.1:8888/web-test/;
   
3. }

复制代码

其他 静态资源URI 请求也 proxy_pass 到后端服务

1. location /web-test/resource/ {
   
2.     proxy_pass http://127.0.0.1:8888;
   
3. }
   
4. location /web-test/image/ {
   
5.     proxy_pass http://127.0.0.1:8888;
   
6. }

复制代码

1. location /其他静态资源URI请求 {
   
2.     proxy_pass http://127.0.0.1:8888;
   
3. }

复制代码

这种方式要找到所有的 静态资源URL 请求，一个个重写
2、直接修改后端服务路由为 http://127.0.0.1:8888/test/，规则变为

1. location ^~ /test/ {
   
2.     proxy_pass http://127.0.0.1:8888;
   
3. }

复制代码

就可以了

总结

以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。

来源:https://www.jb51.net/server/321103wcu.htm
免责声明：由于采集信息均来自互联网，如果侵犯了您的权益，请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容，谢谢合作！