如何通过NGINX反向代理调用Swarm集群容器内的GRPC Server？

错误根源分析 #

你遇到的No common application protocol exists between the client and the server错误，核心原因是gRPC强制依赖HTTP/2协议通信，但当前NGINX配置未正确支持HTTP/2的协商与代理转发，同时客户端证书信任逻辑存在偏差。

一、修正NGINX配置（关键步骤） #

针对gRPC的HTTP/2特性调整NGINX配置，确保端到端的协议兼容性：

1. 启用HTTP/2监听与ALPN协议协商 #

修改listen指令明确启用HTTP/2，并在SSL配置中指定ALPN协议列表（优先HTTP/2）：

server {
    # 启用HTTPS + HTTP/2监听
    listen 443 ssl http2;
    server_name demo.myorg.com;

    # SSL基础配置，确保支持TLS 1.2+并指定ALPN协议
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    # 优先协商HTTP/2
    ssl_alpn_protocols h2 http/1.1;

    # NGINX对外的SSL证书配置（客户端实际连接的是NGINX，需使用客户端信任的证书）
    ssl_certificate /path/to/public/cert.pem;
    ssl_certificate_key /path/to/private/key.pem;

    # gRPC请求专属代理配置（NGINX 1.13.10+推荐使用grpc_pass）
    location / {
        grpc_pass https://namestack_webui:5001; # 替换为后端gRPC Server的实际HTTPS端口（Kestrel默认5001）

        # 必须传递的gRPC请求头
        grpc_set_header Host $host;
        grpc_set_header X-Real-IP $remote_addr;
        grpc_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        grpc_set_header X-Forwarded-Proto $scheme;

        # 处理后端Kestrel开发证书的信任：将证书导入NGINX信任根，或测试环境临时禁用验证
        ssl_trusted_certificate /path/to/kestrel-dev-cert.pem;
        # 测试环境可选：grpc_ssl_verify off;
    }
}

2. 旧版NGINX兼容方案（无grpc_pass支持） #

如果NGINX版本低于1.13.10，使用proxy_pass强制HTTP/2转发：

location / {
    proxy_pass https://namestack_webui:5001;
    proxy_http_version 1.1;
    proxy_set_header Connection "Upgrade";
    proxy_set_header Upgrade h2;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    # 信任后端证书配置
    proxy_ssl_trusted_certificate /path/to/kestrel-dev-cert.pem;
    # 测试环境可选：proxy_ssl_verify off;
}

二、修正客户端配置与证书信任 #

1. 证书信任逻辑调整：
   客户端是与NGINX建立SSL连接，而非直接连接后端gRPC容器，因此需要信任NGINX的SSL证书，而非后端的Kestrel开发证书，之前导入后端证书的操作是错误的。

2. 客户端HTTP/2兼容性确认：
   .NET gRPC客户端默认支持HTTP/2，若需强制配置，可在appsetting.json中添加：

   "GrpcClient": {
     "WebUIGrpc": {
       "Address": "https://demo.myorg.com/",
       "HttpHandler": {
         "EnableMultipleHttp2Connections": true
       }
     }
   }
   

三、Docker Swarm网络连通性确认 #

确保NGINX所在主机能访问Swarm集群的namestack_webui服务：

• 若NGINX在Swarm外部，需开放Swarm服务的对应端口，或把NGINX加入Swarm的overlay网络（更安全的方案）。

内容的提问来源于stack exchange，提问作者Konstantin