nginx 正向代理 配置https 双向认证

项目中需要使用代理访问目标服务器，服务方只接受https请求，并且使用双向认证 经历了一番波折总算配置成功

现在讲配置过程记录下来。

首先是nginx 配置问题

查阅官方文档 

http://nginx.org/en/docs/http/ngx_http_proxy_module.html

以下两项配置https 客户端认证私钥与证书

proxy_ssl_certificate

proxy_ssl_certificate_key

以下项目配置代理转发地址

proxy_pass https://127.0.0.1:8443$request_uri

配置文件

其中有一个坑在与配置代理转发地址时，如果不添加https:// 客户端请求的时候会报错，所以这里一定要写上。

上面这些都配置好后，代理就能正常使用了。

此外，证书问题可能有些人还会遇到问题，推荐的解决方案是在linux 下使用keytool+opensll 来进行证书转换，openssl需可能需要单独安装，具体方式可以问度娘。

以下提供从jks中获取pem格式证书和私钥的方法：

1、提取公钥：

切换到jks证书的存储路径，执行如下命令：keytool -list -rfc -keystore demo.jks -storepass demopwd

将证书内容完整复制，粘贴到文件中，保存为cer.pem

2、提取私钥

私钥无法直接提取，需要将jks进行转换

1）keytool -importkeystore -srckeystore dem.jks -destkeystore demo.p12 -srcstoretype jks -deststoretype pkcs12

2）openssl pkcs12 -nodes -in 10411004511201290.p12 -out demo.pem

vim demo.pem 

将-----BEGIN PRIVATE KEY-----  ……-----END PRIVATE KEY----- 之间内容(包含) 进行复制，粘贴到新文件中，保存名称为privateKey.pem 

或者可以直接执行第二个提取私钥操作 执行vim demo.pem  后可以看到证书和私钥，分别保存成两个pem文件即可。

代理主要用在网络连接方面，不同类型的代理用于不同类型的连接。有一些代理用于隐藏用户的身份，而另外一些代理用于隐藏服务器的信息。常见的代理类型有正向代理和反向代理。这两种代理的名字有些相近，不过差别却非常大。

正向代理也就是大家常说的“代理”。用户向代理服务器发送请求，代理服务器从网络中检索数据。正向代理最典型的应用场景就是绕过网络限制。比如你们学校或公司的网络限制访问抖音，可以通过设置一台代理服务器，然后不直接连接抖音的服务，而是走代理，让代理来访问抖音的服务。

目的服务收到的请求来源IP会是代理服务器的IP，而不是用户的IP。这使得代理服务器可以提供一定的匿名性。

与正向代理功能相近的是NAT，两者都可以通过私有IP地址提供互联网访问。不过这两种技术在TCP/IP协议栈中的位置不同。NAT工作在网络层，而代理工作在应用层。对使用者来说，NAT对各种应用程序都是透明的；而使用代理则必须在应用程序中指定代理服务器的主机地址。

比如，使用NAT访问网页，不需要在浏览器上进行任何配置；而要使用代理访问网页，必须要在浏览器中指定代理的IP地址，如果代理仅支持HTTP协议，则只能通过代理访问Web服务器，不能访问FTP服务器。

由于NAT并非针对应用程序，因此在访问互联网时，NAT提供了比代理更高的可伸缩性。不过，NAT无法提供基于用户名和密码的身份验证。而代理支持身份验证，可以配置代理服务器仅允许特定用户访问互联网。

Web代理是最常用的正向代理，用于代理HTTP请求。除了会把完整的url传递过去外，来自客户端的请求与常规HTTP请求几乎没有什么两样。下面是一个请求的例子：

代理服务器收到请求后，向目标服务器发起请求，并且返回响应，比如：

上面的例子只对HTTP协议生效。有一些Web代理允许通过HTTP CONNECT方法建立通信隧道，利用这个隧道，代理服务器可以转发任意TCP数据包。

通过CONNECT方法，客户端要求HTTP代理服务器将TCP连接转发到所需的目的地；然后，服务器代表客户端向目标服务器发起连接。服务器建立连接后，代理服务器将继续与客户端之间来回代理TCP数据流。在上面的过程中，只有初始的连接请求是HTTP，之后服务器仅代理建立的TCP连接。

客户端连接到代理服务器，在请求中指定主机和端口，例子如下：

如果代理服务器允许连接并且连接到指定的主机，返回2XX成功响应：

现在，客户端发送到代理服务器的所有数据都蒋被转发给远程主机。

流行的HTTP代理服务器软件有Haproxy、Apache、Squid等。

反向代理一般用于控制对专用网络上服务器的访问。它代表一个客户端从一个或多个服务器检索资源，然后将这些资源返回给客户端，好像资源源自代理服务器本身一样。

流行的Web服务器经常使用反向代理功能，从而屏蔽HTTP功能“较弱”的应用程序框架。这里的“较弱”主要指的是处理大量负载能力比较弱，以及处理不同形式的请求格式的能力比较弱，比如HTTP协议就有HTTP(S)1.x，HTTP(S) 2.x多个版本。反向代理可以将HTTPS请求转换为HTTP请求、暂时缓存请求以保护后端服务器、处理一些cookie和会话数据等等。

反向代理是非常有用的。常见用途如下：

与正向代理充当关联的客户端与任意服务器中介不同，反向代理是任意客户端与关联服务器的中介。换句话说，正向代理代表客户端，而反向代理代表服务器。

说到代理，首先我们要明确一个概念，所谓代理就是一个代表、一个渠道；此时就涉及到两个角色，一个是被代理角色，一个是目标角色。

被代理角色通过这个代理访问目标角色完成一些任务的过程称为代理操作过程；如同生活中的专卖店，客人到 adidas 专卖店买了一双鞋，这个专卖店就是代理，被代理角色就是 adidas 厂家，目标角色就是用户。

说反向代理之前，我们先看看正向代理，正向代理也是大家最常接触到的代理模式，我们会从两个方面来说关于正向代理的处理模式，分别从软件方面和生活方面来解释一下什么叫正向代理。

在如今的网络环境下，我们如果由于技术需要要去访问国外的某些网站，此时你会发现位于国外的某网站我们通过浏览器是没有办法访问的。

此时大家可能都会用一个操作 FQ 进行访问，FQ 的方式主要是找到一个可以访问国外网站的代理服务器，我们将请求发送给代理服务器，代理服务器去访问国外的网站，然后将访问到的数据传递给我们！

上述这样的代理模式称为正向代理，正向代理最大的特点是客户端非常明确要访问的服务器地址；服务器只清楚请求来自哪个代理服务器，而不清楚来自哪个具体的客户端；正向代理模式屏蔽或者隐藏了真实客户端信息。

来看个示意图（我把客户端和正向代理框在一块，同属于一个环境，后面我有介绍）：

客户端必须设置正向代理服务器，当然前提是要知道正向代理服务器的 IP 地址，还有代理程序的端口。

如下图：

明白了什么是正向代理，我们继续看关于反向代理的处理方式，举例如我国的某宝网站，每天同时连接到网站的访问人数已经爆表，单个服务器远远不能满足人民日益增长的购买欲望了。

此时就出现了一个大家耳熟能详的名词：分布式部署；也就是通过部署多台服务器来解决访问人数限制的问题。

某宝网站中大部分功能也是直接使用 Nginx 进行反向代理实现的，并且通过封装 Nginx 和其他的组件之后起了个高大上的名字： Tengine 。有兴趣的童鞋可以访问 Tengine 的官网查看具体的信息

那么反向代理具体是通过什么样的方式实现的分布式的集群操作呢，我们先看一个示意图（我把服务器和反向代理框在一块，同属于一个环境，后面我有介绍）：

通过上述的图解大家就可以看清楚了，多个客户端给服务器发送的请求，Nginx 服务器接收到之后，按照一定的规则分发给了后端的业务处理服务器进行处理了。

此时请求的来源也就是客户端是明确的，但是请求具体由哪台服务器处理的并不明确了，Nginx 扮演的就是一个反向代理角色。

客户端是无感知代理的存在的，反向代理对外都是透明的，访问者并不知道自己访问的是一个代理。因为客户端不需要任何配置就可以访问。

项目场景

通常情况下，我们在实际项目操作时，正向代理和反向代理很有可能会存在同一个应用场景中，正向代理代理客户端的请求去访问目标服务器，目标服务器是一个反向单利服务器，反向代理了多台真实的业务处理服务器。

具体的拓扑图如下：

截了一张图来说明正向代理和反向代理二者之间的区别，如下图：

我们已经明确了所谓代理服务器的概念，那么接下来，Nginx 扮演了反向代理服务器的角色，它是依据什么样的规则进行请求分发的呢？不用的项目应用场景，分发的规则是否可以控制呢？

这里提到的客户端发送的、Nginx 反向代理服务器接收到的请求数量，就是我们说的负载量。请求数量按照一定的规则进行分发，到不同的服务器处理的规则，就是一种均衡规则。

所以将服务器接收到的请求按照规则分发的过程，称为负载均衡。

负载均衡在实际项目操作过程中，有硬件负载均衡和软件负载均衡两种，硬件负载均衡也称为硬负载，如 F5 负载均衡，相对造价昂贵成本较高。

但是数据的稳定性安全性等等有非常好的保障，如中国移动中国联通这样的公司才会选择硬负载进行操作。

更多的公司考虑到成本原因，会选择使用软件负载均衡，软件负载均衡是利用现有的技术结合主机硬件实现的一种消息队列分发机制。

Nginx 支持的负载均衡调度算法方式如下：

Web 服务器对比

源自： https://baijiahao.baidu.com/s?id=1652608869911988442&wfr=spider&for=pc

---