HAProxy代理下Nexus请求报错：无效转发头问题求助

我之前帮朋友排查过几乎一模一样的情况——HAProxy做HTTPS前端，后端Jenkins、GitLab都正常跑，唯独Nexus报转发头无效。核心原因其实是Nexus对反向代理的头信息要求更严格，必须正确传递协议、主机名这些关键标识，同时还要让Nexus信任这些来自HAProxy的头。

第一步：给HAProxy补上正确的转发头配置 #

首先得让HAProxy在转发请求给Nexus时，把必要的反向代理头传到位。你可以在HAProxy的配置文件里，针对Nexus的后端做如下修改：

1. 前端HTTPS路由配置（确保请求能精准到Nexus） #

frontend https_front
    bind *:443 ssl crt /path/to/your/ssl-cert.pem
    # 匹配Nexus的访问域名
    acl is_nexus hdr(host) -i your-nexus-domain.com
    # 匹配成功就转发到Nexus后端
    use_backend nexus_back if is_nexus

    # 保留你原有Jenkins、GitLab的路由规则
    acl is_jenkins hdr(host) -i your-jenkins-domain.com
    use_backend jenkins_back if is_jenkins
    # ... 其他应用的路由规则

2. Nexus后端的头传递配置 #

backend nexus_back
    # 指向你的Nexus容器IP和默认端口（通常是8081）
    server nexus_container 172.17.0.3:8081 check
    # 关键：告诉Nexus原始请求是HTTPS协议
    http-request set-header X-Forwarded-Proto https
    # 传递用户实际访问的主机名
    http-request set-header X-Forwarded-Host %[req.hdr(host)]
    # 传递客户端真实IP
    http-request set-header X-Forwarded-For %[src]
    # 可选：如果Nexus需要端口信息，加上这行
    http-request set-header X-Forwarded-Port 443

这些头的作用很重要：X-Forwarded-Proto能避免Nexus误以为是HTTP请求而跳转错误地址；X-Forwarded-Host让Nexus生成正确的外部链接，不会指向容器内部的IP。

第二步：让Nexus信任HAProxy的转发头 #

光HAProxy传头还不够，Nexus默认不会随便信任外部发来的头（防止伪造），得明确告诉它HAProxy是可信的反向代理。

方法1：修改Nexus配置文件 #

先进入Nexus容器：

docker exec -it nexus_1 /bin/bash

编辑/opt/sonatype/nexus/etc/nexus.properties，添加或修改以下配置：

# 启用反向代理头支持
nexus-args=${jetty.etc}/jetty.xml,${jetty.etc}/jetty-http.xml,${jetty.etc}/jetty-requestlog.xml,${jetty.etc}/jetty-forwarded.xml
# 设置信任的代理IP范围（填HAProxy的IP或所在网段，比如容器网段172.17.0.0/16）
jetty.forwarded.trusted=172.17.0.0/16
# 设置Nexus的外部访问Base URL（用户实际访问的HTTPS地址）
nexus-context-path=/
nexus-base-url=https://your-nexus-domain.com

方法2：通过Nexus Web UI配置（更直观） #

如果能临时绕开HAProxy，直接用容器IP:8081访问Nexus，可以登录后按以下步骤操作：

1. 进入Administration -> System -> HTTP
2. 在Reverse Proxy Settings区域，勾选Enable Reverse Proxy Headers
3. 在Trusted Proxies里填入HAProxy的IP或网段
4. 在Base URL里填写你的Nexus HTTPS访问地址（比如https://your-nexus-domain.com）
5. 保存配置后重启Nexus

第三步：重启服务验证 #

先重启HAProxy（根据你的部署方式选择命令）：

# 如果是容器部署
docker restart haproxy_container
# 如果是宿主机systemd服务
systemctl restart haproxy

再重启Nexus容器：

docker restart nexus_1

等几分钟让Nexus完全启动，再访问你的HTTPS地址，应该就能正常打开了。同时可以查看Nexus的日志，确认“转发头无效”的提示消失了。

额外提醒 #

• 确保HAProxy和Nexus容器在同一个Docker网络中，或者HAProxy能访问到Nexus的容器IP
• 如果你的Nexus用了自定义上下文路径（比如/nexus），记得在HAProxy配置和Nexus的Base URL里都加上这个路径
• 可以查看HAProxy的日志（/var/log/haproxy.log或容器日志），确认请求确实转发到了Nexus后端

内容的提问来源于stack exchange，提问作者GSUgambit