如何玩转nginx正反向代理

比眉伴天荒 2024-05-05 07:31 7阅读 0赞

![a64aa8eef8449b5a4f26bac5d5e4da04.gif][]

新钛云服已累计为您分享**763**篇技术干货

![3ec507225ca6771da6bc90eac0f429bd.gif][]

Ngnix大家都比较熟悉，最常见的Web服务器，但是它还有一个常见的用户代理服务器，它支持正向代理，也可以反向代理，用的比较多的，可能还是发现代理；本篇将通过一个实际的场景来介绍一下Nginx的正反向代理分别怎么用。

![7600f72bd4edc79110fd9c4244a6ac3e.png][]

**一、场景**

![2826cbb3b8545b0ee6d440c51a498780.png][]

**1.1 场景描述**

![882f54d8fcad17132f23a798ca030814.png][]

1、在客户的场景中，有两台测试服务windows server系统，无法访问外网。

2、测试服务器中运行的业务程序，需要访问有几个公网域名。

3、场景中还有一台代理服务器 ，它可以访问外网，也可以通两台测试服务器；

系统架构图如下。

![97b19b0bef480b832995514d97a04a86.png][]

**1.2 需求**

![d8cde667e912abcb16730bfd47e1fadc.png][]

两台不能访问外网的测试服务器里面的程序，需要访问外网的几个固定域名。

**1.3 解决方法**

![70c673ebaaab266af22f95ad8eb43b4a.png][]

1、正向代理：代理服务器的nginx配置正向代理，为后面的测试服务器代理全部访问【限制条件是程序需要支持识别代理】。

2、反向代理：代理业务程序所使用到的域名，使访问请求通过代理出去。

![1a567e84aa45138d7842997f154c3f3f.png][]

**二、反向代理配置**

![add77b958cb3f12e6735899ffc2f0c59.png][]

**2.1 公共域名http的反向代理**

![51ccd07fe56837bb748553220de65f28.png][]

1、反向代理公共域名，将内网服务器的http请求，代理转发至原本的域名中。

2、例如 www.tyun.cn 代理转发至www.tyun.cn

nginx配置

# cat default.conf 
    server {
        listen 80;
        server_name _;
        
        location / {
            resolver 114.114.114.114;
            set $backend_host $host;  #将原始域名存储到变量中
            proxy_pass http://$backend_host$request_uri;  #使用变量保持原始域名
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }
    }

**2.2 公共域名https的反向代理**

![498ff7c2452ce5b6b4f83c4dd8857549.png][]

1、由于这次需要代理转发是其他公共域名，所以代理服务器没有这些公共域名的https证书，公共域名的IP也是会变动的，需要能够不提示证书问题，并且能够根据域名对应代理转发。

2、所以通过4层转发，并且4层代理通过使用域名的形式，转发至原本的域名中。

3、例如 www.tyun.cn代理转发至www.tyun.cn

![b6a9701be95f2f50091de5924e42aed4.gif][]

#### **2.2.1 nginx的ssl\_preread** ####

nginx的ssl\_preread介绍

1、Nginx 开始支持 SSL 的 ssl\_preread 功能是在版本 1.9.0 中引入的。

2、ssl\_preread 是 Nginx 的 Stream 模块中的一个指令，用于在 SSL 握手之前读取客户端发送的数据，通常用于提前获取客户端发送的信息，比如域名，从而根据这些信息做出代理或路由决策。这在反向代理和负载均衡的场景中特别有用。

以下是关于 ssl\_preread 的详细描述：

1. 功能介绍： ssl\_preread 允许 Nginx 在 SSL/TLS 握手的早期阶段读取客户端发送的数据，包括 ClientHello 消息。这样做的目的是为了从握手的预读取数据中获取一些信息，以便在接下来的代理和路由过程中做出更明智的决策。

2. 使用场景： ssl\_preread 常用于以下场景：

\- 根据客户端发送的域名（SNI）将流量代理到不同的后端服务器。

\- 根据不同的协议或应用层协议（如 HTTP、SMTP、POP3 等）将流量路由到不同的后端服务器。

#### **2.2.2、nginx配置** ####

安装nginx配置

nginx编译安装需要添加特定模块

--with-stream \
    --with-stream_ssl_module \
    --with-stream_ssl_preread_module

nginx配置文件

这里需要业务系统中使用了几个域名就要配置几个upstream

#user  nobody;
    worker_processes  1;
    
    
    #error_log  logs/error.log  info;
    #pid        logs/nginx.pid;
    
    
    events {
        worker_connections  1024;
    }
    
    
    
    
    http {
        include       mime.types;
        default_type  application/octet-stream;
        #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
        #                  '$status $body_bytes_sent "$http_referer" '
        #                  '"$http_user_agent" "$http_x_forwarded_for"';
        #access_log  logs/access.log  main;
        sendfile        on;
        #tcp_nopush     on;
        #keepalive_timeout  0;
        keepalive_timeout  65;
        
        include conf.d/*.conf;
    }
    
    
    #配置https反向代理
    stream {
        map $ssl_preread_server_name $backend_hosthttps {
            www.tyun.cn                   tyun;
            www.tyun2.cn                   tyun2;
        }
    
    
        upstream tyun {
            server www.tyun.cn:443;
        }
        upstream tyun2 {
            server www.tyun2.cn:443;
        }
    
    
    
    
        server {
            listen 443;
            ssl_preread on;
            resolver 114.114.114.114;
            proxy_pass $backend_hosthttps;
            proxy_connect_timeout 5s;
            proxy_timeout 15s;
        }
    }

#### **2.2.3、无外网win server服务器配置** ####

1、需要配置hosts文件将域名指向代理服务器中

C:\\Windows\\System32\\drivers\\etc\\hosts

192.168.1.100   www.tyun.cn
    192.168.1.100   www.tyun2.cn

![5e33c523c4039f36f401f9a0f82b0b05.png][]

**三、正向代理解决方案**

![c516b634504de092f7dd2c6ba4709530.png][]

**3.1 正向代理存在的一些问题**

![7d3f1f10570d2ddd5366a11dfe38c673.png][]

正向代理配置之后，需要业务程序中本身支持读取系统中的代理配置。

**3.2 配置正向代理**

![a8d518a5da1dc87c75b7e6b7a34fdcc5.png][]

nginx正向代理，默认的nginx的无法支持https的访问，需要添加github上开源的proxy\_connect模块，模块的链接如下 https://github.com/chobits/ngx\_http\_proxy\_connect\_module/

编译安装nginx1.23 并添加开源的模块

wget https://github.com/chobits/ngx_http_proxy_connect_module/archive/refs/heads/master.zip
    unzip master.zip
    
    
    yum install -y patch
    #在nginx源码目录执行
    cd /root/nginx-1.23.3
    patch -p1 < /root/ngx_http_proxy_connect_module-master/patch/proxy_connect_rewrite_102101.patch
    
    
    #nginx编译
    ./configure \
    --prefix=/usr/local/nginx \
    --with-http_ssl_module \
    --with-http_v2_module \
    --with-http_gzip_static_module \
    --with-threads \
    --with-http_realip_module \
    --with-http_addition_module \
    --with-http_sub_module \
    --with-http_dav_module \
    --with-http_flv_module \
    --with-http_mp4_module \
    --with-http_gunzip_module \
    --with-http_gzip_static_module \
    --with-http_random_index_module \
    --with-http_secure_link_module \
    --with-http_stub_status_module \
    --with-http_auth_request_module \
    --with-http_realip_module \
    --with-http_slice_module \
    --with-http_ssl_module \
    --with-http_v2_module \
    --with-stream \
    --with-stream_ssl_module \
    --with-stream_ssl_preread_module \
    --add-module=/root/ngx_http_proxy_connect_module-master
    
    
    make && make install

配置nginx

server {
        listen                         8080;
    
    
        resolver                       114.114.114.114;
    
    
        proxy_connect;
        proxy_connect_allow            80 443;
        proxy_connect_connect_timeout  10s;
        proxy_connect_data_timeout     10s;
    
    
        location / {
            proxy_pass http://$host;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
        }
    }

**3.3 无外网win server服务器配置**

![1f503c564071b4d8a41f71c7b4a49bc8.png][]

1、配置完成后，经过验证服务器上的浏览器是可以正常代理http https类型都是没有问题的。

2、业务系统无法走代理，因为程序不会自动使用系统设置的代理，而需要单独进行代理配置。

![f5ead60d754cc8be0ff2fe12fb20c6de.png][]

**3.4 使用ptyhon获取系统代理配置示例**

![18c42b389fa93557324b7e7e47786f4d.png][]

以下展示了一段Python的代码，来展示如何获取Windows server系统的代理，并使用该代理，访问公网；

import os
    import requests
    import winreg
    
    
    # 获取 Windows 系统代理配置
    internet_settings = winreg.OpenKey(winreg.HKEY_CURRENT_USER, r'Software\Microsoft\Windows\CurrentVersion\Internet Settings')
    proxy_enabled, _ = winreg.QueryValueEx(internet_settings, 'ProxyEnable')
    proxy_server, _ = winreg.QueryValueEx(internet_settings, 'ProxyServer')
    
    
    if proxy_enabled and proxy_server:
        proxies = {
            'http': 'http://' + proxy_server,
            'https': 'https://' + proxy_server,
        }
        os.environ['http_proxy'] = 'http://' + proxy_server
        os.environ['https_proxy'] = 'https://' + proxy_server
    else:
        proxies = None
    
    
    # 使用代理请求
    response = requests.get('http://www.tyun.cn', proxies=proxies)
    print(response.text)

**推荐阅读**

**![001245de84e62ff4259c492fc06d3191.png][]**

![159fa1d4813d8bb449dba16f069b6234.png][]

**推荐视频**

[a64aa8eef8449b5a4f26bac5d5e4da04.gif]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/e1f0b15393c042dda4559ba7e7fba655.gif
[3ec507225ca6771da6bc90eac0f429bd.gif]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/88c79b235a22406e8a1007ec935c7fdd.gif
[7600f72bd4edc79110fd9c4244a6ac3e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/5cd79661101b469f9c1a2f651a2cfa5c.png
[2826cbb3b8545b0ee6d440c51a498780.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/7e7bab4abb3240c2842d6c34c4c9f111.png
[882f54d8fcad17132f23a798ca030814.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/ccd94310853a4f2a899b96efff44ea4c.png
[97b19b0bef480b832995514d97a04a86.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/1cfaba2ffc68432daf7195cc406a447f.png
[d8cde667e912abcb16730bfd47e1fadc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/753982e502f343279eb688f0254ef13c.png
[70c673ebaaab266af22f95ad8eb43b4a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/40d96fcc62134e45b44e4ab79e3e5df7.png
[1a567e84aa45138d7842997f154c3f3f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/9bb17a3520fd4255a28024231966112c.png
[add77b958cb3f12e6735899ffc2f0c59.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/3dbf4a92e9fc4d5e957edf8f8f853012.png
[51ccd07fe56837bb748553220de65f28.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/57866807aa2d4a40907f18f9b115d413.png
[498ff7c2452ce5b6b4f83c4dd8857549.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/453c92e9fdc643a6a81cc06c4eeda967.png
[b6a9701be95f2f50091de5924e42aed4.gif]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/70b639f63e41493c8189da7ab6c20a65.gif
[5e33c523c4039f36f401f9a0f82b0b05.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/80e560c1cf5c45cf8f6faa9be4999d07.png
[c516b634504de092f7dd2c6ba4709530.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/c7f26ab51b7e4d178d799edb47510d77.png
[7d3f1f10570d2ddd5366a11dfe38c673.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/857cabb50eb2408ba88d2931726fab8b.png
[a8d518a5da1dc87c75b7e6b7a34fdcc5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/d23b096bf72f4a31957e3a26006159b6.png
[1f503c564071b4d8a41f71c7b4a49bc8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/e5eb6092c83b4fdcbba9d2eeacac97ca.png
[f5ead60d754cc8be0ff2fe12fb20c6de.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/7e1f7c133e834ce38c66252cfbe76b7a.png
[18c42b389fa93557324b7e7e47786f4d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/65a9aee5b0ef437c9941094f2e15a2f1.png
[001245de84e62ff4259c492fc06d3191.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/94cbe570d1aa4731910cadd8ee986daf.png
[159fa1d4813d8bb449dba16f069b6234.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/1c1eff06fa6f4c3c950cc7b1c177a447.png