如何配置AWS ALB实现类NGINX proxy_pass的域名隐藏反向代理效果

该需求完全可以通过AWS ALB实现，无需维护运行Nginx的EC2实例。你当前遇到的内部域名暴露、跳转异常问题，并非ALB不支持反向代理域名掩码能力，而是配置未对齐Nginx的反向代理逻辑、未处理后端返回的跳转响应导致的。
NLB为四层负载均衡，不支持七层的头字段改写能力，无法兜底处理后端返回的内部域名跳转逻辑，该场景优先选择ALB实现。

你原有Nginx配置可以正常工作，核心是做了两个关键动作：

1. 转发请求到后端时，自动将请求的Host头设置为后端地址api.domain.cloud:8200，后端服务收到合法的Host头不会触发未知域名跳转
2. 反向代理过程中默认拦截处理后端返回的Location、Refresh等跳转类响应头，避免后端返回的内部地址直接暴露给客户端
   你之前配置ALB时未复现这两个逻辑，后端收到带有公网域名server_1.domain.com的Host头后，无法匹配对应的虚拟主机规则，直接返回3xx重定向到自身的内部域名，ALB未做响应头改写就将跳转响应返回给客户端，最终导致浏览器跳转到无法公网解析的内部地址。

• 1. 创建对应后端的目标组
     目标类型选择「IP」，协议配置为HTTPS，端口填8200，选择和后端服务相同的VPC，健康检查配置为后端服务可正常响应的接口。目标组创建完成后，将api.domain.cloud对应的VPC内网私有IP注册到目标组即可。

  注意：ALB目标组不支持直接填写域名作为后端目标，不要直接将api.domain.cloud填入目标地址，否则会导致转发异常。如果后端服务是通过内网DNS解析的，优先注册内网IP，走内网转发可以避免公网流量费用。

• 2. 配置公网监听器
     根据你的访问需求创建对应端口的监听器：如果需要兼容原有HTTP访问，先创建80端口的HTTP监听器；如果需要HTTPS访问，创建443端口监听器并绑定ACM申请的公网证书即可。
• 3. 配置请求头改写对齐Nginx转发逻辑
     监听器的默认转发动作选择「转发到上一步创建的目标组」，在自定义请求头规则中添加一条配置：
  • 请求头名称：Host
  • 请求头值：api.domain.cloud:8200
    该配置完全对齐你原有Nginx的默认转发行为，后端收到请求后可以匹配到对应的虚拟主机规则，不会触发异常跳转。
• 4. 配置响应头改写兜底域名掩码
     在转发动作中添加响应头修改规则，针对Location、Refresh两个会触发浏览器跳转的响应头，配置字符串替换：将响应值中所有出现的http://api.domain.cloud:8200、https://api.domain.cloud:8200内容，统一替换为你对外暴露的访问地址（如果走HTTP就替换为http://server_1.domain.com，走HTTPS就替换为https://server_1.domain.com）。
     该配置可以兜底处理后端代码硬编码返回内部域名的场景，就算后端返回带内部地址的跳转响应，ALB也会在返回给客户端前替换为公网域名，地址栏会始终保持你对外的访问域名，不会出现内部地址暴露问题。
• 5. 校验路径转发逻辑
     你原有Nginx配置中location /搭配带尾斜杠的proxy_pass，本质是将客户端请求的路径原样转发给后端，ALB默认转发逻辑和该行为完全一致，不需要额外配置路径重写规则。

配置完成后可以通过命令行工具验证返回结果，不需要直接用浏览器测试：

1. 执行curl -v http://server_1.domain.com/test/path，查看返回的响应头中Location字段是否为对外的公网域名，不存在内部域名即可
2. 确认返回的响应状态码不是3xx跳转到内部地址，状态码和你直接请求后端接口的状态码一致即为配置正常。

内容的提问来源于stack exchange，提问作者eljoeyjojo