Golang Gin框架下反向代理对接TLS后端服务配置异常求助

先明确两个TLS配置项的作用 #

你之前的两种方案分别对应两种不同的TLS场景，都没有覆盖实际的需求：

• TLSClientConfig.Certificates：配置的是客户端证书，仅用于服务端开启mTLS双向认证、要求客户端出示身份证书的场景，和建立标准TLS连接没有直接关系
• TLSClientConfig.RootCAs：配置的是客户端用来验证服务端返回证书是否可信的根证书池，仅用于校验服务端身份，也不是建立TLS连接的必要条件（你已经开启InsecureSkipVerify: true的情况下这个配置会直接失效）

核心排查步骤 #

1. 确认反向代理的目标地址协议是否正确 #

你代码里赋值了c.Request.URL.Scheme = remote.Scheme，首先要确认你拿到的remoteUrl的Scheme是https而非http。如果Scheme是http，Transport会直接走明文HTTP请求，目标服务自然识别不到TLS请求。
可以在代码里加一行日志验证：

log.Println("remote scheme:", remoteUrl.Scheme)

如果输出为http，修改为https即可。

2. 确认目标服务的监听端口是否为TLS端口 #

很多服务会分开监听明文端口（比如80）和TLS端口（比如443），如果你请求的是服务端的明文端口，就算带了TLS配置也不会建立TLS连接。确认remoteUrl的Port是服务端开启TLS监听的端口。

3. 修正Transport复用问题 #

你现在的代码是每次请求都新建http.Transport，会导致每次请求都重新建立TLS连接，符合你「证书按请求唯一」的要求，如果后续证书有复用需求可以抽出来全局复用减少性能损耗。
如果你的需求是「代理和被代理服务建立TLS连接时，使用自定义的客户端证书（mTLS场景）」，第一种方案的配置逻辑是正确的，你需要额外确认被代理服务是否开启了mTLS校验，是否要求客户端出示对应CA签发的证书。

4. 抓包验证TLS握手是否正常 #

你可以在代理所在机器用tcpdump抓包看和目标服务的交互：

tcpdump -i any host [目标服务IP] and port [目标服务端口] -w tls_debug.pcap

把pcap文件用Wireshark打开，看有没有Client Hello的TLS握手包：

• 没有握手包说明本地请求根本没走TLS，优先排查前面的Scheme和端口问题
• 有握手失败的话看错误码：返回Unknown CA说明你配置的客户端证书不是服务端信任的CA签发的；客户端侧握手失败说明服务端证书有问题，你可以暂时关闭InsecureSkipVerify打印具体报错信息定位问题。

修正后的参考代码（mTLS场景） #

如果你的场景是代理要和被代理服务走mTLS双向认证，每次请求用不同的客户端证书，修正后的代码如下：

func proxy(c *gin.Context) {
   /* snip: magic here to get the x509 cert strings and remoteUrl */
   
   // 强制校验目标地址使用HTTPS协议
   if remoteUrl.Scheme != "https" {
      c.JSON(400, gin.H{"message": "remote url must use https scheme"})
      return
   }

   proxy := httputil.NewSingleHostReverseProxy(remoteUrl)

   cert := pem.EncodeToMemory(&pem.Block{Type: "CERTIFICATE", Bytes: []byte(signedCertString)})
   key:= pem.EncodeToMemory(&pem.Block{Type: "PRIVATE KEY", Bytes: []byte(privateKeyString)})

   certificate, err := tls.X509KeyPair(cert, key)
   if err != nil {
      c.JSON(400, gin.H{"message": "Invalid certificate"})
      return
   }

   tlsConfig := &tls.Config{
     Certificates: []tls.Certificate{certificate},
     // 生产环境建议关闭该配置，同时配置RootCAs校验服务端证书合法性
     InsecureSkipVerify: true,
   }

   proxy.Transport = &http.Transport{
     TLSClientConfig: tlsConfig,
     // 可选配置：禁用连接复用，保证每次请求都触发新的TLS握手，避免证书复用
     DisableKeepAlives: true,
   }

   c.Request.Host = remoteUrl.Host
   proxy.ServeHTTP(c.Writer, c.Request)
}

内容的提问来源于stack exchange，提问作者Ben Lesh