AWS EC2中配置Nginx正向代理遇连接失败问题求助

以下按从基础到复杂的优先级顺序排查：

1. 基础连通性验证 #

• 登录VM2，执行ping <proxyserverip>确认能连通VM1的代理IP；执行telnet <proxyserverip> 8888或nc -zv <proxyserverip> 8888，验证VM1的8888端口可访问。
  • 若不通：检查VM1和VM2的安全组规则，确保VM2的IP/子网被允许访问VM1的8888端口；同时确认两台VM在同一VPC或已通过对等连接打通网络。

2. 修正iptables规则问题 #

• 变量拼写错误：第二条规则中--to proxyserver:8888的proxyserver需替换为实际的VM1 IP（proxyserverip），否则规则无法生效。
• OUTPUT链DNAT的路由问题：OUTPUT链处理本地生成的流量，DNAT后需确保返回流量能正确回到VM2。建议在VM1上补充SNAT规则（针对来自VM2的请求）：

  iptables -t nat -A POSTROUTING -s <VM2_IP/子网> -j MASQUERADE
  

  或者在VM2的路由表中添加指向VM1的路由，确保DNAT后的流量返回路径正确。
• 规则匹配优先级：执行iptables -t nat -L -n -v查看规则顺序，若前面有更优先的规则（如默认路由的SNAT）匹配了80/443流量，会导致当前DNAT规则不生效。可将DNAT规则插入到规则列表前端（用-I代替-A）：

  iptables -t nat -I OUTPUT -p tcp -o eth1 --dport 80 -j DNAT --to <proxyserverip>:8888
  iptables -t nat -I OUTPUT -p tcp -o eth1 --dport 443 -j DNAT --to <proxyserverip>:8888
  

• 接口限制问题：确认VM2的eth1确实是通往VM1的网络接口，若VM2只有一个网卡，可去掉-o eth1参数，避免接口匹配错误。

3. 修复Nginx正向代理配置（支持HTTPS） #

当前Nginx配置仅能处理HTTP请求，无法处理VM2转发来的HTTPS（443端口）流量，需添加CONNECT方法支持：
修改Nginx配置为：

server {
    listen       8888;

    # 处理HTTP代理
    location / {
        resolver 8.8.8.8;
        proxy_pass http://$http_host$uri$is_args$args;
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
    }

    # 处理HTTPS的CONNECT请求
    location ~ ^CONNECT {
        resolver 8.8.8.8;
        proxy_pass $scheme://$http_host;
        proxy_set_header Host $http_host;
        proxy_connect_timeout 10s;
        proxy_send_timeout 10s;
        proxy_read_timeout 10s;
    }

    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   html;
    }
}

修改后重启Nginx：systemctl restart nginx，并查看Nginx日志（/var/log/nginx/error.log）确认无启动错误。

4. AWS网络架构配置检查 #

• VM1的互联网访问权限：VM1所在子网的路由表需配置默认路由指向互联网网关或NAT网关，确保Nginx能访问目标互联网站点；同时VM1的安全组需允许出站的80/443端口流量。
• VM2的路由与NAT网关冲突：若VM2的默认路由指向NAT网关，DNAT后的流量返回时可能走NAT网关而非VM1，导致连接中断。需确保VM2到VM1的路由优先级高于默认路由，或在VM1上配置SNAT（步骤2中提到的MASQUERADE规则），让返回流量从VM1回到VM2。
• NAT网关的影响：若VM1使用NAT网关访问互联网，需确认NAT网关的安全组和路由配置允许转发VM2的代理流量。

5. 日志与流量抓包排查 #

• 查看VM2的iptables nat表流量统计：iptables -t nat -v -L OUTPUT，确认DNAT规则有匹配次数（pkts列数值大于0）。
• 在VM1上抓包查看是否收到VM2的流量：tcpdump -i any port 8888，同时查看Nginx的访问日志（/var/log/nginx/access.log），确认请求是否到达Nginx。
• 若Nginx收到请求但返回错误，根据error.log中的错误信息进一步定位（如域名解析失败、连接超时等）。

内容的提问来源于stack exchange，提问作者DevOpsGeek