Kong 3.3.0路由匹配失败求助：跨Nginx网关请求异常

核心问题 #

经Nginx转发至Kong的请求返回{"message":"no Route matched with those values"}，但直接在Kong机器发起相同请求可正常匹配路由。

可能原因及调试/解决思路 #

1. 请求Host头被Nginx篡改 #

从Kong日志可见$host为api.myfoo.com，但你的路由配置要求Host为api.foo.com，这是核心矛盾点：

• Nginx默认在proxy_pass时会将Host头替换为上游服务器的域名，而非原请求的Host。
• 解决/验证：在Nginx的location /identity-provider/oauth2/token块中添加：

  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-Host $host;
  

  重启Nginx后重新测试，观察Kong日志中的$host是否变为api.foo.com。

2. SSL SNI不匹配 #

你的路由配置了snis: ["api.foo.com"]，Kong的SNI匹配依赖SSL握手阶段的SNI值，而非HTTP Host头：

• Nginx转发请求到上游时，默认会用上游域名作为SNI发送，而非原请求的SNI，导致Kong无法匹配SNI规则。
• 解决/验证：在Nginx的location块中添加：

  proxy_ssl_server_name on;
  proxy_ssl_name $host;
  

  确保Nginx转发SSL请求时，将原请求的Host作为SNI传递给Kong。

3. 路径匹配模式的潜在问题 #

你的路由设置path_handling: "v0"，该模式下Kong会严格匹配路径前缀：

• 确认Kong收到的请求路径是否为/identity-provider/oauth2/token，而非被Nginx修改为其他路径。
• 调试方法：在Kong中添加全局file-log插件，配置日志格式包含关键请求参数：

  curl -X POST http://kong-admin:8001/plugins \
    -d name=file-log \
    -d config.path=/var/log/kong/request-details.log \
    -d config.format='{"path":"$request.path", "host":"$request.headers.host", "sni":"$ssl.sni"}'
  

4. 抓包验证请求完整性 #

直接在Kong机器上抓包，对比转发请求与本地curl请求的差异：

# 抓取来自Nginx机器的HTTPS请求
tcpdump -i any host 172.16.1.126 and port 443 -A -s 0

重点检查：

• SSL握手阶段的SNI字段
• HTTP请求的Host头
• 请求URI路径

5. 排查路由冲突或优先级问题 #

确认是否存在其他路由可能优先匹配该请求：

# 列出所有Kong路由，检查路径、Host、优先级配置
curl -X GET http://kong-admin:8001/routes | jq '.data[] | {name: .name, paths: .paths, hosts: .hosts, regex_priority: .regex_priority}'

内容的提问来源于stack exchange，提问作者Daniel Handojo