Nginx 反向代理 HTTP、HTTPS、WS、WSS、SSH 配置(2022.03.31)

来源:https://www.cnblogs.com/xiaoQQya/archive/2022/05/24/16305241.html
-Advertisement-
Play Games

反向代理(2022/03/31) 簡單記錄 Nginx 反向代理相關的一些配置文件，描述不足之處請自行查閱相關資料。 1. HTTP 配置 upstream web { server domain.com:80; } server { # 監聽 tcp4 listen 80; # 監聽 tcp6 l ...


反向代理(2022/03/31)

目錄

簡單記錄 Nginx 反向代理相關的一些配置文件，描述不足之處請自行查閱相關資料。

1. HTTP 配置

upstream web {
    server domain.com:80;
}

server {
    # 監聽 tcp4
    listen 80;
    # 監聽 tcp6
    listen [::]:80;
    # 無效功能變數名稱 _ 匹配任意功能變數名稱，優先順序最低
    server_name  _;
    
    # 訪問日誌
    access_log /var/log/nginx/access.log main;
    # 錯誤日誌
    error_log /var/log/nginx/error.log notice;
    
    # 客戶端請求體大小，避免大文件上傳 413
    client_max_body_size 1024m;

    # X-Frame-Options 標頭
    add_header X-Frame-Options sameorigin;
    # 內容安全策略 (CSP)
    add_header Content-Security-Policy "frame-ancestors 'self'";
    
    # 允許的外域 URI
    # add_header Access-Control-Allow-Origin *;
    # 允許的 HTTP 方法，用於 OPTIONS 預檢請求
    # add_header Access-Control-Allow-Methods *;
    # 允許的 HTTP 請求頭，用於 OPTIONS 預檢請求
    # add_header Access-Control-Allow-Headers *;
    # OPTIONS 預檢請求結果緩存時間，單位秒
    # add_header Access-Control-Max-Age 86400;
    # 如果為 OPTIONS 預檢請求，返回 204 No Content
    # if ($request_method = OPTIONS) {
    #     return 204;
    # }

    # 前端靜態文件
    location / {
        root /data/www/web_frontend;
        try_files $uri $uri/ /index.html last;
    }

    # 後端 API，註意 proxy_pass 後的 /，攜帶 / 轉發請求時會去掉匹配首碼
    location /api/ {
        # 代理轉發目標，註意需要添加請求協議
        proxy_pass http://web/;
        # Host 主機名
        proxy_set_header Host $host;
        # X-Real-IP 將真實訪問者的遠端 IP 地址轉發給代理伺服器
        proxy_set_header X-Real-IP $remote_addr;
        # X-Forwarded-For 標記客戶端通過代理連接到伺服器的源 IP
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # X-Forwarded-Host 標記客戶端通過代理連接到伺服器的原始主機
        proxy_set_header X-Forwarded-Host $host:$server_port;
        # X-Forwarded-Server 代理伺服器的主機名
        proxy_set_header X-Forwarded-Server $host;
        # X-Forwarded-Port 定義客戶端請求的原始埠
        proxy_set_header X-Forwarded-Port $server_port;
        # X-Forwarded-Proto 標記客戶端通過代理連接到伺服器的協議
        proxy_set_header X-Forwarded-Proto $scheme;
        # proxy_set_header X-Forwarded-Proto $proxy_x_forwarded_proto;
    }
}

2. HTTPS 配置

2.1 證書生成

實現 HTTPS 訪問首先需要申請證書，製作自簽名證書的方法網上很多，但因命令較為複雜，所以此處筆者使用的一鍵生成工具Fishdrowned/ssl，具體使用方法參考作者使用說明。

# 拉取倉庫
$ git clone https://gitee.com/xiaoqqya/ssl.git

# 生成證書
$ ./ssl/gen.cert.sh domain.com

# 將證書複製到指定路徑，方便使用
$ cp ./ssl/out/root.crt /data/www/domain.com/certs/ca.crt
# 路徑中存在時間戳，註意修改
$ cp ./ssl/out/domain.com/20220104-1757/domain.com.bundle.crt /data/www/domain.com/certs/server.crt
$ cp ./ssl/out/cert.key.pem /data/www/domain.com/certs/server.key

2.2 配置文件

upstream web {
    server domain.com:443;
}

server {
    # 監聽 tcp4 並開啟 http2
    listen 443 ssl http2;
    # 監聽 tcp6 並開啟 http2
    listen [::]:443 ssl http2;
    # 無效功能變數名稱 _ 匹配任意功能變數名稱，優先順序最低
    server_name  _;
    
    # 訪問日誌
    access_log /var/log/nginx/access.log main;
    # 錯誤日誌
    error_log /var/log/nginx/error.log notice;

    # 伺服器證書文件
    ssl_certificate /data/www/domain.com/certs/server.crt;
    # 伺服器證書密鑰文件
    ssl_certificate_key /data/www/domain.com/certs/server.key;
    # 支持的 ssl 或 tls 的版本
    ssl_protocols TLSv1.2 TLSv1.3;
    # 是否由伺服器決定採用哪種演算法，預設 off；如果 ssl 協議支持 tlsv1、tlsv1.1 老協議，設置為 on 並配合 ssl_ciphers 使用，如果 ssl 協議為 tlsv1.2、tlsv1.3 新協議，設置為 off，新協議不再採納該參數
    ssl_prefer_server_ciphers off;
    # 支持 ssl 協議的加密套件
    ssl_ciphers ECDHE-RSA-AES256-SHA384:AES256-SHA256:RC4:HIGH:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!AESGCM;
    # 啟用 ssl session 緩存，占用 10m 記憶體，緩存時間由 ssl_session_timeout 決定
    ssl_session_cache shared:SSL:10m;
    # 客戶端可以重用會話的時間
	ssl_session_timeout 10m;

    # 客戶端請求體大小，避免大文件上傳 413
    client_max_body_size 1024m;

    # HSTS: HTTP 嚴格傳輸安全
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    # X-Frame-Options 標頭
    add_header X-Frame-Options sameorigin;
    # 內容安全策略 (CSP)
    add_header Content-Security-Policy "frame-ancestors 'self'";

    # HTTPS 通過 HTTP 訪問時 Nginx 觸發 497 狀態碼，重定向到 HTTPS
    error_page 497 https://$http_host$uri$is_args$args;

    # 前端靜態文件
    location / {
        root /data/www/web_frontend;
        try_files $uri $uri/ /index.html last;
    }

    # 後端 API，註意 proxy_pass 後的 /，攜帶 / 轉發請求時會去掉匹配首碼
    location /api/ {
        # 代理轉發目標，註意需要添加請求協議
        proxy_pass http://web/;
        # Host 主機名
        proxy_set_header Host $host;
        # X-Real-IP 將真實訪問者的遠端 IP 地址轉發給代理伺服器
        proxy_set_header X-Real-IP $remote_addr;
        # X-Forwarded-For 標記客戶端通過代理連接到伺服器的源 IP
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # X-Forwarded-Host 標記客戶端通過代理連接到伺服器的原始主機
        proxy_set_header X-Forwarded-Host $host:$server_port;
        # X-Forwarded-Server 代理伺服器的主機名
        proxy_set_header X-Forwarded-Server $host;
        # X-Forwarded-Port 定義客戶端請求的原始埠
        proxy_set_header X-Forwarded-Port $server_port;
        # X-Forwarded-Proto 標記客戶端通過代理連接到伺服器的協議
        proxy_set_header X-Forwarded-Proto $scheme;
        # proxy_set_header X-Forwarded-Proto $proxy_x_forwarded_proto;
    }
}

3. WS 配置

upstream web {
    server domain.com:80;
}

# map 指令根據客戶端請求頭中 $http_upgrade 的值構建 $connection_upgrade 的值；如果 $http_upgrade 沒有匹配，預設值為 upgrade，如果 $http_upgrade 配置空字元串，值為 close
map $http_upgrade $connection_upgrade {
    default upgrade;
    '' close;
}

server {
    # 監聽 tcp4
    listen 80;
    # 監聽 tcp6
    listen [::]:80;
    # 無效功能變數名稱 _ 匹配任意功能變數名稱，優先順序最低
    server_name  _;
    
    # 訪問日誌
    access_log /var/log/nginx/access.log main;
    # 錯誤日誌
    error_log /var/log/nginx/error.log notice;
    
    # 客戶端請求體大小，避免大文件上傳 413
    client_max_body_size 1024m;

    # X-Frame-Options 標頭
    add_header X-Frame-Options sameorigin;
    # 內容安全策略 (CSP)
    add_header Content-Security-Policy "frame-ancestors 'self'";

    # 前端靜態文件
    location / {
        root /data/www/web_frontend;
        try_files $uri $uri/ /index.html last;
    }

    # 後端 WebSocket，註意 proxy_pass 後的 /，攜帶 / 轉發請求時會去掉匹配首碼
    location /websocket/ {
        # 代理轉發目標
        proxy_pass http://web;

        # 請求伺服器升級協議為 WebSocket
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        
        # 設置讀寫超時時間，預設 60s 無數據連接將會斷開
        proxy_read_timeout 300s;
        proxy_send_timeout 300s;

        # Host 主機名
        proxy_set_header Host $host;
        # X-Real-IP 將真實訪問者的遠端 IP 地址轉發給代理伺服器
        proxy_set_header X-Real-IP $remote_addr;
        # X-Forwarded-For 標記客戶端通過代理連接到伺服器的源 IP
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # X-Forwarded-Host 標記客戶端通過代理連接到伺服器的原始主機
        proxy_set_header X-Forwarded-Host $host:$server_port;
        # X-Forwarded-Server 代理伺服器的主機名
        proxy_set_header X-Forwarded-Server $host;
        # X-Forwarded-Port 定義客戶端請求的原始埠
        proxy_set_header X-Forwarded-Port $server_port;
        # X-Forwarded-Proto 標記客戶端通過代理連接到伺服器的協議
        proxy_set_header X-Forwarded-Proto $scheme;
        # proxy_set_header X-Forwarded-Proto $proxy_x_forwarded_proto;
    }
}

4. WSS 配置

4.1 證書生成

詳見 [證書生成](###2.1 證書生成).

4.2 配置文件

upstream web {
    server domain.com:443;
}

# map 指令根據客戶端請求頭中 $http_upgrade 的值構建 $connection_upgrade 的值；如果 $http_upgrade 沒有匹配，預設值為 upgrade，如果 $http_upgrade 配置空字元串，值為 close
map $http_upgrade $connection_upgrade {
    default upgrade;
    '' close;
}

server {
    # 監聽 tcp4 並開啟 http2
    listen 443 ssl http2;
    # 監聽 tcp6 並開啟 http2
    listen [::]:443 ssl http2;
    # 無效功能變數名稱 _ 匹配任意功能變數名稱，優先順序最低
    server_name  _;
    
    # 訪問日誌
    access_log /var/log/nginx/access.log main;
    # 錯誤日誌
    error_log /var/log/nginx/error.log notice;

    # 伺服器證書文件
    ssl_certificate /data/www/domain.com/certs/server.crt;
    # 伺服器證書密鑰文件
    ssl_certificate_key /data/www/domain.com/certs/server.key;
    # 支持的 ssl 或 tls 的版本
    ssl_protocols TLSv1.2 TLSv1.3;
    # 是否由伺服器決定採用哪種演算法，預設 off；如果 ssl 協議支持 tlsv1、tlsv1.1 老協議，設置為 on 並配合 ssl_ciphers 使用，如果 ssl 協議為 tlsv1.2、tlsv1.3 新協議，設置為 off，新協議不再採納該參數
    ssl_prefer_server_ciphers off;
    # 支持 ssl 協議的加密套件
    ssl_ciphers ECDHE-RSA-AES256-SHA384:AES256-SHA256:RC4:HIGH:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!AESGCM;
    # 啟用 ssl session 緩存，占用 10m 記憶體，緩存時間由 ssl_session_timeout 決定
    ssl_session_cache shared:SSL:10m;
    # 客戶端可以重用會話的時間
	ssl_session_timeout 10m;

    # 客戶端請求體大小，避免大文件上傳 413
    client_max_body_size 1024m;

    # HSTS: HTTP 嚴格傳輸安全
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    # X-Frame-Options 標頭
    add_header X-Frame-Options sameorigin;
    # 內容安全策略 (CSP)
    add_header Content-Security-Policy "frame-ancestors 'self'";

    # HTTPS 通過 HTTP 訪問時 Nginx 觸發 497 狀態碼，重定向到 HTTPS
    error_page 497 https://$http_host$uri$is_args$args;

    # 前端靜態文件
    location / {
        root /data/www/web_frontend;
        try_files $uri $uri/ /index.html last;
    }

    # 後端 WebSocket，註意 proxy_pass 後的 /，攜帶 / 轉發請求時會去掉匹配首碼
    location /websocket/ {
        # 代理轉發目標
        proxy_pass http://web;

        # 請求伺服器升級協議為 WebSocket
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        
        # 設置讀寫超時時間，預設 60s 無數據連接將會斷開
        proxy_read_timeout 300s;
        proxy_send_timeout 300s;

        # Host 主機名
        proxy_set_header Host $host;
        # X-Real-IP 將真實訪問者的遠端 IP 地址轉發給代理伺服器
        proxy_set_header X-Real-IP $remote_addr;
        # X-Forwarded-For 標記客戶端通過代理連接到伺服器的源 IP
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # X-Forwarded-Host 標記客戶端通過代理連接到伺服器的原始主機
        proxy_set_header X-Forwarded-Host $host:$server_port;
        # X-Forwarded-Server 代理伺服器的主機名
        proxy_set_header X-Forwarded-Server $host;
        # X-Forwarded-Port 定義客戶端請求的原始埠
        proxy_set_header X-Forwarded-Port $server_port;
        # X-Forwarded-Proto 標記客戶端通過代理連接到伺服器的協議
        proxy_set_header X-Forwarded-Proto $scheme;
        # proxy_set_header X-Forwarded-Proto $proxy_x_forwarded_proto;
    }
}

5. Stream 配置

5.1 應用場景

反向代理轉發 ssh 連接等。

5.2 配置文件

  1. 修改nginx.conf文件，引入 stream 相關配置文件；

    user nginx;
worker_processes auto;

error_log /var/log/nginx/error.log notice;
pid /var/run/nginx.pid;


events {
    worker_connections 1024;
}


http {
    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';

    access_log /var/log/nginx/access.log  main;

    sendfile on;

    keepalive_timeout 65;

    include /etc/nginx/conf.d/*.conf;
}

# stream 相關配置文件
stream {
    include /etc/nginx/conf.d/*.stream;
}

  2. 在/etc/nginx/conf.d文件夾下添加配置文件；

    upstream ssh {
    server domain.com:22;
}

server {
    listen 22;
    listen [::]:22;
    
    proxy_connect_timeout 10s;
    proxy_timeout 3600s;
    proxy_pass ssh;
    
    # 訪問日誌
    access_log /var/log/nginx/access.log main;
    # 錯誤日誌
    error_log /var/log/nginx/error.log notice;
}

6. 跨域配置

server {
    # 允許的外域 URI
    add_header Access-Control-Allow-Origin *;
    # 允許的 HTTP 方法，用於 OPTIONS 預檢請求
    add_header Access-Control-Allow-Methods *;
    # 允許的 HTTP 請求頭，用戶 OPTIONS 預檢請求
    add_header Access-Control-Allow-Headers *;
    # OPTIONS 預檢請求結果緩存時間，單位秒
    add_header Access-Control-Max-Age 86400;
    # 如果為 OPTIONS 預檢請求，返回 204 No Content
    if ($request_method = OPTIONS) {
        return 204;
    }
}

參考鏈接：


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • IOS – OpenGL ES 桑原濾波/水粉畫模糊效果 GPUImageKuwaharaFilter
    目錄 一.簡介 二.效果演示 三.源碼下載 四.猜你喜歡 零基礎 OpenGL (ES) 學習路線推薦 : OpenGL (ES) 學習目錄 >> OpenGL ES 基礎 零基礎 OpenGL (ES) 學習路線推薦 : OpenGL (ES) 學習目錄 >> OpenGL ES 轉場 零基礎 O ...
  • 日誌框架體系整理( 基礎 )
    0、前言 本篇博客的初衷是為了特定的人弄的，這些內容在網上都可以找到原文，因此：這篇博客只是保證能夠讓特定的人看懂，其他人看得懂就看，看不懂拉倒，同時，這篇博客中細節說明沒有、運行截圖沒有、特別備註沒有...... 1、JUL 指的是Java Util Logging包，它是java原生的日誌框架， ...
  • kafka listener配置解決Server與消費端不在同一網路問題
    在kubernetes容器環境下 kafka會預設把主機名註冊到zookeeper。這個時候消費端部署在不同的命名空間或者不同的集群中會出現無法訪問的情況。用advertised.listeners配置可以重寫預設註冊的地址。 定義 listeners listeners 配置的是kafka Ser ...
  • 【Java面試】簡述一下你對線程池的理解？
    到底是什麼面試題， 讓一個工作了4年的精神小伙，只是去參加了一場技術面試， 就被搞得精神萎靡。鬱郁寡歡！ 這一切的背後到底是道德的淪喪，還是人性的扭曲。 讓我們一起揭秘一下這道面試題。 關於， “簡述你對線程池的理解”，看看普通人和高手的回答。 普通人： 嗯。。。。。。。。。。 高手： 關於這個問題 ...
  • IOS – OpenGL ES 設置圖像黑白噪點 GPUImageLocalBinaryPatternFilter
    目錄 一.簡介 二.效果演示 三.源碼下載 四.猜你喜歡 零基礎 OpenGL (ES) 學習路線推薦 : OpenGL (ES) 學習目錄 >> OpenGL ES 基礎 零基礎 OpenGL (ES) 學習路線推薦 : OpenGL (ES) 學習目錄 >> OpenGL ES 轉場 零基礎 O ...
  • RabitMQ 發佈確認
    每日一句 軍人天生就捨棄了戰鬥的意義！ 概述 RabitMQ 發佈確認，保證消息在磁碟上。 前提條件 1。隊列必須持久化 隊列持久化 2。隊列中的消息必須持久化 消息持久化 使用 三種發佈確認的方式： 1。單個發佈確認 2。批量發佈確認 3。非同步批量發佈確認 開啟發佈確認的方法 //創建一個連接工廠 ...
  • FFmpeg 解碼記憶體泄漏彙總，sws_getContext函數無法釋放問題
    使用FFmpeg庫做的項目，調試項目的時候發現，連續解視頻進行播放，會有明顯記憶體增加問題。連續工作10個小時後就會 被linux 內核kill掉。 通過逐步註掉代碼和網上查閱資料。最後發現記憶體泄漏有一些幾個地方： 一、av_read_frame的問題 從網上查閱大神們的經驗，主要是av_read_f ...
  • Java中如何快捷的創建不可變集合
    在Java 9中又新增了一些API來幫助便捷的創建不可變集合，以減少代碼複雜度。 本期配套視頻：Java 9 新特性：快速定義不可變集合 常規寫法 以往我們創建一些不可變集合的時候，通常是這樣寫的： // 不可變的Set Set<String> set = new HashSet<>(); set. ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類