使用Nginx代理时客户端未收到SSL_CLOSE_NOTIFY的问题咨询

这个坑我之前做HTTPS负载均衡时实打实踩过，核心问题是Nginx默认的连接处理逻辑会拦截后端发送的SSL关闭信号，转而直接给客户端发普通TCP断开，导致客户端拿不到标准的SSL_CLOSE_NOTIFY消息。结合你后端主动优雅断开的业务场景，给你几个可行的解决办法：

1. 启用Nginx的SSL关闭通知转发 #

Nginx专门提供了proxy_ssl_close_notify指令，默认是off状态——开启后，Nginx会在后端服务器主动关闭SSL连接时，向客户端转发SSL_CLOSE_NOTIFY消息。

在你的location或server配置块里添加：

proxy_ssl_close_notify on;

这是最直接的针对性解决方案，专门处理反向代理场景下的SSL关闭信号传递问题。

2. 确保HTTP/1.1长连接配置正确 #

如果你的业务用了长连接，Nginx默认可能用HTTP/1.0和后端通信，这会导致连接关闭逻辑异常。需要强制启用HTTP/1.1，并设置正确的Connection头：

proxy_http_version 1.1;
proxy_set_header Connection "";

proxy_http_version 1.1让Nginx和后端用HTTP/1.1协议通信，proxy_set_header Connection ""会清空Connection头，让Nginx遵循HTTP/1.1的长连接规则，这样后端的优雅断开信号能更顺畅地传递到客户端。

3. 验证后端服务器的断开逻辑 #

要确保后端是优雅关闭SSL连接：先发送SSL_CLOSE_NOTIFY，再关闭TCP连接，而不是直接发RST包强制断开。如果后端直接RST，Nginx根本接不到合法的SSL关闭信号，自然没法转发给客户端。

你可以用tcpdump或wireshark抓包验证后端和Nginx之间的SSL流量，确认后端是否确实发送了SSL_CLOSE_NOTIFY消息。

4. 调整Nginx的连接超时设置 #

如果Nginx的超时设置比后端的主动断开时间短，可能会提前切断连接，覆盖后端的关闭信号。检查以下超时配置，确保它们大于后端的主动断开时间：

proxy_connect_timeout 60s;
proxy_send_timeout 60s;
proxy_read_timeout 60s;

根据你的业务实际情况调整超时数值，避免Nginx主动干预连接关闭流程。

内容的提问来源于stack exchange，提问作者user832096