如何配置Server B的Nginx代理，向启用mTLS的Server A转发客户端证书

当前Nginx反向代理返回502 Bad Gateway的核心原因是：Server A启用mTLS后，要求所有HTTPS请求的客户端（这里指Nginx）出示由其CA签发的客户端证书，但你的Nginx配置未提供该证书，导致Server A拒绝与Nginx建立TLS连接。此外，Nginx若未正确验证Server A的SSL证书，也会加剧连接失败。

根据你的场景，分两种模式处理：

模式1：反向代理（当前配置的模式） #

需要让Nginx作为客户端向Server A发起请求时出示合法的客户端证书，步骤如下：

1. 获取客户端证书与私钥
   从已导入证书的终端用户浏览器中导出Server A CA签发的客户端证书（PEM格式）和对应的私钥，将文件放置在Nginx容器可访问的路径（如/etc/nginx/certs/），并设置权限为chmod 600保障私钥安全。

2. 修改Nginx配置
   更新nginx.conf的反向代理块，添加mTLS相关指令：

http {
    server {
        listen 8080;

        location / {
            proxy_pass https://domain.a.com;
            # 配置向Server A出示的客户端证书和私钥
            proxy_ssl_certificate /etc/nginx/certs/client-cert.pem;
            proxy_ssl_certificate_key /etc/nginx/certs/client-key.pem;
            
            # 若无法获取Server A的CA证书，临时关闭证书验证（生产环境不推荐）
            # proxy_ssl_verify off;
            
            # 若能获取Server A的CA证书，启用证书验证（推荐）
            # proxy_ssl_trusted_certificate /etc/nginx/certs/server-a-ca.pem;
            # proxy_ssl_verify on;
            # proxy_ssl_verify_depth 2;
        }

        location /health/check {
            return 200 '';
        }
    }
}

3. 验证并重启Nginx

• 检查配置语法：nginx -t
• 重启服务：nginx -s reload

模式2：正向代理（适配PAC的HTTPS代理场景） #

如果你的PAC配置是让浏览器通过domain.b.com作为正向代理（使用CONNECT方法建立隧道），则Nginx无需处理证书，只需转发流量。修改配置如下：

http {
    server {
        listen 8080;

        # 处理HTTPS CONNECT请求，建立隧道让浏览器直接与Server A通信
        location / {
            resolver 8.8.8.8; # 可替换为你的内部DNS服务器
            proxy_pass https://$host$request_uri;
            proxy_ssl_server_name on;
        }

        # 处理HTTP请求转发
        location ~ ^/(?!health/check) {
            resolver 8.8.8.8;
            proxy_pass http://$host$request_uri;
        }

        location /health/check {
            return 200 '';
        }
    }
}

这种模式下，浏览器直接与Server A完成TLS握手并出示自身的客户端证书，Nginx仅作为流量中转，无需配置客户端证书。

• 反向代理模式下，客户端证书必须由Server A的CA签发，否则无法通过mTLS验证。
• 生产环境中禁止关闭proxy_ssl_verify，应尽可能获取Server A的CA证书以确保连接安全。
• 确保ECS容器挂载了证书目录，或者将证书打包进镜像中。

内容的提问来源于stack exchange，提问作者malaquf