NginxをアップストリームSSLを使用したリバースプロキシとして構成する

40

Nginxサーバーをリバースプロキシとして構成して、クライアントから受信するhttps要求がhttpsを介して上流サーバーにも転送されるようにします。

使用する構成は次のとおりです。

http {

    # enable reverse proxy
    proxy_redirect              off;
    proxy_set_header            Host            $http_host;
    proxy_set_header            X-Real-IP       $remote_addr;
    proxy_set_header            X-Forwared-For  $proxy_add_x_forwarded_for;

    upstream streaming_example_com 
    {
          server WEBSERVER_IP:443; 
    }

    server 
    {
        listen      443 default ssl;
        server_name streaming.example.com;
        access_log  /tmp/nginx_reverse_access.log;
        error_log   /tmp/nginx_reverse_error.log;
        root        /usr/local/nginx/html;
        index       index.html;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  10m;
        ssl_certificate /etc/nginx/ssl/example.com.crt;
        ssl_certificate_key /etc/nginx/ssl/example.com.key;
        ssl_verify_client off;
        ssl_protocols        SSLv3 TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers RC4:HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;


        location /
        {
            proxy_pass  https://streaming_example_com;
        }
    }
}

とにかく、リバースプロキシを使用してファイルにアクセスしようとすると、これがリバースプロキシログに記録されるエラーです。

2014/03/20 12:09:07 [エラー] 4113079＃0：* 1 SSL_do_handshake（）failed（SSL：error：1408E0F4：SSL routines：SSL3_GET_MESSAGE：unexpected message）while SSL handshake to upstream、client：192.168.1.2、サーバー：streaming.example.com、リクエスト： "GET /publishers/0/645/_teaser.jpg HTTP / 1.1"、アップストリーム： " https://MYSERVER.COM:443/publishers/0/645/_teaser.jpg " 、ホスト：「streaming.example.com」

私が間違っていることを知っていますか？

nginx ssl reverse-proxy

— アレックス・フロー
ソース

upstreamproxy_passディレクティブにWEBSERVER_IPを直接入れて、モジュールを使用せずに同じエラーが発生するかどうかを確認しましたか？

— ブノワ14年

いいえ、私はこれを試しませんでしたが、以下で説明するように、オプションproxy_ssl_session_reuse off;は期待通りに機能しました。

— アレックスフロー14年

10

サポートされているプロトコルからSSLv3を削除してください。安全ではないため、使用しないでください：ssl_protocols SSLv3

— user220703

30

私はエラーが何であるかを見つけました、私は追加する必要がありました proxy_ssl_session_reuse off;

— アレックス・フロー
ソース

1

ありがとうございました。この設定を使用した後でも問題が発生する可能性がある場合は、proxy_passのパラメーターとして指定されたURLの先頭でhttpの代わりにhttpsを使用することを忘れないでください。そうしないと、nginxはアップストリームに送信されるトラフィックを暗号化せず、同じエラーメッセージが表示されます。

— ルシオモリネド

1

私の場合、Cloudflareの背後にあるWebサイトをリバースプロキシしようとしていました。で同じエラーが発生しました/var/log/nginx/error.log。私は多くの解決策を試しましたが、これは私のために働いた：

proxy_ssl_server_name on;

はい、それが2019年であっても、いくつかのサービスはホストされたサイトを区別するためにまだSNIを必要とします。

— iBug
ソース