Jenkins置于AWS NLB（TLS:443→HTTP:8443）后登录失效：请求头缺失或重定向异常

部署可行性 #

这种架构是完全支持的，核心问题在于NLB作为四层负载均衡不会传递HTTP层面的转发头，导致Jenkins无法感知外部的HTTPS协议和443端口，进而生成错误的重定向URL。

具体修复步骤 #

1. 配置Jenkins JVM启动参数 #

直接通过JVM参数强制Jenkins使用外部访问的协议、端口和根URL，覆盖它从请求中获取的默认信息：
找到Jenkins的启动配置文件（通常是/etc/sysconfig/jenkins或/etc/default/jenkins），修改JAVA_ARGS字段，添加以下参数：

JAVA_ARGS="-Djenkins.model.Jenkins.rootUrl=https://jenkins.example.com/ -Dorg.apache.catalina.connector.Scheme=https -Dorg.apache.catalina.connector.Port=443"

• -Djenkins.model.Jenkins.rootUrl：指定外部访问的完整根URL，确保所有生成的链接都基于此地址
• -Dorg.apache.catalina.connector.Scheme：告诉Jenkins内置的Tomcat外部使用的是HTTPS协议
• -Dorg.apache.catalina.connector.Port：告诉Tomcat外部访问的端口是443

修改后重启Jenkins服务：

sudo systemctl restart jenkins

2. 验证Jenkins全局配置 #

进入Jenkins后台 → 系统管理 → 系统配置，确认Jenkins URL与上述JVM参数中的rootUrl完全一致（https://jenkins.example.com/），避免配置冲突导致的异常。

3. 加固网络访问控制 #

在EC2实例的安全组中，仅允许NLB对应的安全组访问8443端口，禁止直接从公网访问EC2的8443端口，防止用户绕过NLB访问引发的URL混乱。

可选方案：添加反向代理层（适合复杂场景） #

如果后续需要支持真实客户端IP获取等需求，可以在NLB和EC2之间添加Nginx反向代理：

• Nginx监听EC2的8443端口，接收NLB转发的流量
• Nginx配置中添加X-Forwarded-Proto: https和X-Forwarded-Port: 443请求头
• Jenkins启动时添加参数-Djenkins.security.HttpSessionFixationPreventionFilter.ignoreClientDisconnection=true，并在全局配置中开启“使用X-Forwarded-*头”（部分插件依赖此配置）

原理说明 #

NLB工作在TCP层（四层），只会转发原始TCP流量，不会修改HTTP请求的任何内容。Jenkins内置的Tomcat默认会从当前连接获取协议和端口信息，因此它会认为自己运行在HTTP协议的8443端口上，生成的重定向链接自然会使用http://<ec2-ip>:8443格式。通过JVM参数强制指定外部的协议、端口和根URL，就能让Jenkins始终生成符合外部访问的HTTPS链接。

内容的提问来源于stack exchange，提问作者KVR