Nginx邮件代理：代理与上游SMTP服务器间是否支持TLS/STARTTLS加密连接？

你好！针对你的问题，我可以明确告诉你：目前Nginx的邮件代理模块（ngx_mail_proxy_module）确实不支持与上游SMTP服务器建立TLS或STARTTLS加密连接——默认情况下，代理和上游服务器之间只能通过未加密的明文SMTP通信。

这也是不少开发者在使用Nginx做SMTP代理时遇到的痛点，尤其是对传输安全性有要求的场景。不过你可以通过一些变通方案实现与上游SMTP服务器的安全连接和认证：

• 使用中间加密隧道工具（比如stunnel）：在Nginx和上游SMTP服务器之间搭建一个TLS加密隧道，让Nginx发出的明文SMTP流量通过隧道加密后再传输到上游服务器，以此实现端到端的加密。
• 替换为支持上游加密的代理工具：比如用Postfix配置成SMTP中继代理，它原生支持与上游服务器建立STARTTLS或TLS加密连接，同时也能很好地处理客户端到上游的认证传递，安全性和功能性都更完善。

另外补充一点：Nginx邮件代理本身支持通过auth_http模块完成客户端认证，再用proxy_auth指令将认证信息传递给上游服务器，但这个传递过程是明文的，所以如果要保障认证的安全性，一定要搭配上面提到的加密方案使用。

备注：内容来源于stack exchange，提问作者Arnout Engelen