Nginx TLS透传场景下反向代理与后端服务的证书DNS及IP配置咨询

先给你理清楚TLS透传模式下的核心逻辑，这是解决你证书困惑的关键：
在你的场景中，Nginx是作为纯TCP转发代理存在的——它不会终止客户端的TLS连接，只是把客户端发送的TLS加密流量原封不动地转发到对应的后端服务。整个TLS握手、证书验证流程，都是客户端和后端服务直接完成的，Nginx全程不参与加密解密，也碰不到证书相关的操作。

接下来逐个解答你的疑问：

1. Nginx需要配置证书吗？ #

完全不需要！透传模式下Nginx不处理TLS连接，所以根本不存在“代理的证书”这一说法——你之前提到的“代理证书要被后端看到”是对TLS终止模式的误解，在透传场景里Nginx不需要任何证书配置。

2. 后端服务的证书该包含哪些DNS/IP？ #

这是核心问题，直接关系到客户端能否正常建立连接：

• 必须包含客户端访问的域名：也就是example1.com、example2.com、example3.com。因为客户端发起请求时，会验证后端返回的证书是否匹配自己请求的域名（通过证书的SAN字段，即主题备用名称）。如果后端证书里没有这些域名，客户端会直接触发“证书不匹配”的错误，连接失败。
• 不需要包含后端的IP或Nginx的IP/域名：除非你的客户端会直接用后端IP访问服务，否则完全没必要添加这些IP。你的场景里客户端是通过域名访问的，所以证书只需要对应客户端用的域名即可。

3. 关于客户端IP与证书的关联误区 #

你提到的“客户端看到代理IP”“后端看到真实客户端IP”，这两个点和证书配置没有关系：

• 客户端从TLS层面完全感知不到Nginx的存在：因为它是直接和后端服务做TLS握手，只会验证后端证书是否匹配自己请求的域名，根本不知道中间有Nginx转发。
• 后端要获取真实客户端IP：这是流量转发层面的配置，和证书无关。你可以在Nginx的stream模块里启用PROXY协议（需要后端服务也支持该协议），或者配置透明代理来传递真实客户端IP，这部分操作和证书没有关联。

最后用列表总结你的场景配置：

• Nginx端：无需配置TLS证书，仅需配置TCP转发规则（将example1.com等域名的流量对应转发到各自的后端IP端口）。
• 后端example1服务：证书SAN字段必须包含example1.com
• 后端example2服务：证书SAN字段必须包含example2.com
• 后端example3服务：证书SAN字段必须包含example3.com

备注：内容来源于stack exchange，提问作者Grant Curell