Nginx代理服务器Nginx基于SSL的TCP代理服务器

Nginx 可以通过代理模块实现上游服务器 SSL/TLS 协议的连接，同时 Nginx 还通过模块 ngx_stream_ssl_module 提供了基于 SSL/TLS 协议的 TCP 连接监听。Nginx 还可以把 SSL 证书部署在 Nginx 服务器上，这就减轻了后端上游服务器的 CPU 运算量并实现 SSL 证书的统一管理和维护。

ngx_stream_ssl_module 模块默认不会被构建，这就需要在编译的时候通过 --with-stream_ssl_module 参数进行启用。相关配置指令如下表所示。

关于上表有以下几点需要说明。

• 
  该模块指令值使用的指令域范围为 stream、server。


• 
  Nginx 建立 SSL TCP 监听，用户发送 SSL TCP 连接时，由 Nginx 实现 SSL 终止并把 TCP 会话代理到上游服务器，部署方式为客户端 → Nginx 服务器（SSL TCP）→ 上游服务器（TCP）。配置样例如下：

stream {
server {
listen 636 ssl; # 设置监听端口为636
access_log logs/ldap_access.log tcp;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # 设置使用的SSL协议版本
ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5;
# 设置服务端使用的密码套件
ssl_certificate ssl/www_nginxbar_org.pem; # 主机名www.nginxbar.org证书文件
ssl_certificate_key ssl/www_nginxbar_org.key; # 主机名www.nginxbar.org证书密钥文件
ssl_session_cache shared:SSL:10m; # SSL TCP会话缓存设置共享内存区域名为
# SSL，区域大小为10MB
ssl_session_timeout 10m; # SSL TCP会话缓存超时时间为10分钟
proxy_pass 192.168.2.100:389;
}
}

• 
  也可以通过代理模块的 proxy_ssl 指令配置与上游服务器实现全链路的安全数据通信。部署方式为客户端 → Nginx 服务器（SSL TCP）→ 被代理服务器（SSL TCP）。配置样例如下：

stream {
server {
listen 636 ssl; # 设置监听端口为636
access_log logs/ldap_access.log tcp;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # 设置使用的SSL协议版本
ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5;
# 设置服务端使用的密码套件
ssl_certificate ssl/www_nginxbar_org.pem; # 主机名www.nginxbar.org证书文件
ssl_certificate_key ssl/www_nginxbar_org.key; # 主机名www.nginxbar.org证书密钥文件
ssl_session_cache shared:SSL:10m; # SSL TCP会话缓存设置共享内存区域名为SSL，区域大小为10MB
ssl_session_timeout 10m; # SSL TCP会话缓存超时时间为10分钟
proxy_ssl on; # 启用SSL/TLS协议，与被代理服务器建立连接
proxy_ssl_session_reuse on; # 与被代理服务器SSL TCP连接的SSL会话重用功能
}
}