Apache反向代理下Socket回调连接可行性验证问询

你的验证方向完全正确——Apache反向代理确实无法识别后端服务器发起的套接字请求对应的客户端，因此无法建立从服务器到客户端的回调连接，具体原因和验证方法如下：

核心逻辑拆解 #

• 正向请求的会话仅单向关联：客户端发起HTTPS请求到Apache时，Apache会创建临时会话映射，记录「客户端连接」与「Apache到后端服务器的连接」的对应关系，但这个映射只负责处理客户端主动发起的请求/响应流，完全不支持后端服务器主动发起的反向连接。
• 后端服务器的连接目标错误：后端服务器收到客户端传的回调端口后，会基于当前连接上下文发起套接字连接，但它的通信对象是Apache，因此会把连接目标设为「Apache的IP + 客户端指定的回调端口」，而非客户端的真实IP和端口。Apache既没有监听这个端口，就算临时监听了，也没有机制知道该把连接转发给哪个客户端（无反向会话关联记录）。
• 直接HTTP通信正常的本质：直连场景下，后端服务器与客户端点对点通信，能拿到客户端的真实IP和回调端口，直接发起连接即可命中客户端监听端口，因此回调正常。

验证方案 #

1. 抓包验证目标IP
   在后端服务器上用tcpdump抓包，过滤服务器发起的出站连接：

   tcpdump -i any dst port [客户端传的回调端口]
   

   会看到数据包的目标IP是Apache服务器的IP，而非客户端真实IP，直接证明服务器的连接目标错误，且无法通过Apache关联到客户端。

2. 单客户端临时转发测试
   在Apache服务器上临时监听客户端指定的回调端口，并配置反向代理到客户端真实IP和端口：

   Listen [回调端口]
   <VirtualHost *:[回调端口]>
       ProxyPass / http://[客户端真实IP]:[回调端口]/
       ProxyPassReverse / http://[客户端真实IP]:[回调端口]/
   </VirtualHost>
   

   重启Apache后，单客户端的回调会生效，但如果有第二个客户端请求，Apache会把所有连接都转发到第一个客户端，这就验证了Apache无法区分不同客户端的反向连接请求。

内容的提问来源于stack exchange，提问作者zia