配置NGINX作为HTTPS正向代理对接第三方API遇SSL错误求助

核心问题 #

你当前的NGINX配置无法生效的原因是：HTTPS正向代理依赖CONNECT方法建立隧道，而非常规的HTTP请求路径匹配。你写的location /api1这类规则根本不会被触发——当用curl --proxy访问HTTPS时，发送的是CONNECT 3thparty.com:443 HTTP/1.1这样的请求，不存在/api1路径，所以location匹配逻辑完全不适用。

另外需要明确：NGINX作为中间代理，是在和第三方API建立SSL连接时发送客户端证书，而非和上游代理（我方不维护的那台）通信时发证书，你的配置方向正确，但匹配逻辑错误。

正确配置方案 #

1. 前提条件 #

确保你的NGINX已经编译了ngx_http_proxy_connect_module模块（这是第三方模块，官方NGINX默认不包含，需要编译时添加或使用预编译好的带该模块的版本）。

2. 配置步骤 #

第一步：在HTTP块定义域名-证书映射

通过map指令，根据CONNECT请求的目标主机（$connect_host）匹配对应证书：

http {
    # 映射第三方API域名到对应证书文件
    map $connect_host $client_cert {
        api1.example.com /etc/nginx/certs/api1.crt;
        api2.example.com /etc/nginx/certs/api2.crt;
        # 可添加更多域名-证书映射
    }

    map $connect_host $client_key {
        api1.example.com /etc/nginx/certs/api1.key;
        api2.example.com /etc/nginx/certs/api2.key;
        # 对应上面的私钥文件
    }

    server {
        listen 80;
        resolver 8.8.8.8 valid=300s; # 配置可靠DNS并开启缓存

        # 配置CONNECT代理，对接上游的我方不维护的代理服务器
        proxy_connect;
        proxy_connect_allow 443; # 仅允许HTTPS的CONNECT请求
        proxy_connect_connect_timeout 10s;
        proxy_connect_read_timeout 30s;
        proxy_connect_send_timeout 30s;
        # 指定上游代理的地址和端口
        proxy_connect_address X.X.X.X:UPSTREAM_PROXY_PORT;

        # 针对不同第三方API，动态选择客户端证书
        proxy_ssl_certificate $client_cert;
        proxy_ssl_certificate_key $client_key;
        proxy_ssl_server_name on; # 开启SNI，确保第三方API识别正确域名
        # 生产环境建议配置信任的CA证书，关闭verify off
        # proxy_ssl_trusted_certificate /etc/nginx/certs/root_ca.crt;
        # proxy_ssl_verify on;
    }
}

3. 测试命令 #

访问第一个第三方API：

curl --proxy YOUR_NGINX_IP:80 -X POST -d "your_data" https://api1.example.com/api/request

访问第二个第三方API：

curl --proxy YOUR_NGINX_IP:80 -X POST -d "your_data" https://api2.example.com/api/request

常见问题排查 #

• 证书路径错误：务必使用绝对路径指定证书/私钥，避免NGINX找不到文件。
• proxy_connect模块缺失：如果启动NGINX时报错unknown directive "proxy_connect"，说明需要重新编译NGINX并添加该模块。
• 上游代理限制：确认上游代理服务器允许你的NGINX服务器IP访问，没有IP白名单或认证限制。
• SNI问题：必须开启proxy_ssl_server_name on，否则第三方API可能无法正确返回对应证书，导致SSL握手失败。

替代方案 #

如果NGINX的proxy_connect模块部署困难，可以考虑以下方案：

• HAProxy：支持基于目标域名动态选择客户端证书，配置更简洁，官方支持正向代理的CONNECT方法，无需额外模块。
• 自定义代理脚本：用Python的mitmproxy或Go编写代理服务，在代码中根据目标域名动态加载对应证书，适合复杂的匹配规则或特殊需求。

内容的提问来源于stack exchange，提问作者Jos