Centos7使用Nginx配置HTTPS正向代理

Nginx預設安裝只支持代理HTTP, 不支持代理 HTTPS, 如果需要支持HTTPS需要在Nginx編譯時加入 ngx_http_proxy_connect_module.

文件準備

1. 從 ngx_http_proxy_connect_module 模塊倉庫下載源代碼壓縮包, 並確定支持的 Nginx 版本
   • 倉庫地址: https://github.com/chobits/ngx_http_proxy_connect_module/
   • 得到文件: ngx_http_proxy_connect_module-master.zip
   • 當前支持的 Nginx 最高版本為 1.25.x
2. 從 Nginx 官網下載對應版本的源代碼壓縮包
   • 下載列表: http://nginx.org/download/
   • 得到文件: nginx-1.25.5.tar.gz

環境準備

需要一臺能訪問目標網路的伺服器, 並新安裝 Centos7 環境

更新各模塊安裝包

sudo yum update

安裝編譯Nginx需要的工具

sudo yum install make zlib zlib-devel gcc-c++ libtool openssl openssl-devel patch unzip

編譯 Nginx

在同一目錄下解壓 Nginx 和 ngx_http_proxy_connect_module.

tar -xzvf nginx-1.25.5.tar.gz
unzip ngx_http_proxy_connect_module-master.zip

應用補丁, Nginx 版本1.25.5 對應的補丁文件是 proxy_connect_rewrite_102101.patch, 如果是其它版本, 請參照 https://github.com/chobits/ngx_http_proxy_connect_module/ 上的說明確認對應的補丁文件

cd nginx-1.25.5
patch -p1 --verbose < ../ngx_http_proxy_connect_module-master/patch/proxy_connect_rewrite_102101.patch

配置編譯環境, 如果配置過程中報錯, 需要排查並解決錯誤

./configure --add-module=../ngx_http_proxy_connect_module-master

編譯

make

安裝

sudo make install

Nginx 會被預設安裝到 /usr/local/nginx 目錄

配置 Nginx

編輯 /usr/local/nginx/conf/nginx.conf, 在 http { } 內增加一個新的 server 配置, 內容如下

其中:

• listen 3128; 是代理的埠, 可以換成其它埠
• server_name 192.168.9.160; 是代理伺服器自身IP, 需要換成你的環境中伺服器的IP
• resolver 114.114.114.114; 是代理伺服器使用的DNS伺服器, 需要換成你的環境下可用的DNS伺服器地址
• 其他配置不需要修改

    server {
        listen       3128;
        server_name  192.168.9.160;
        resolver     114.114.114.114;

        # forward proxy for CONNECT requests
        proxy_connect;
        proxy_connect_allow            443 563;
        proxy_connect_connect_timeout  10s;
        proxy_connect_data_timeout     10s;

        # Example: reverse proxy for non-CONNECT requests
        location / {
            proxy_pass http://$host;
            proxy_set_header Host $host;
        }
    }

檢查配置格式是否正確, 如果有錯誤信息, 需要先排查問題

sudo /usr/local/nginx/sbin/nginx -t

啟動Nginx服務

sudo /usr/local/nginx/sbin/nginx

打開防火牆埠

如果伺服器開啟了 firewalld 等防火牆服務, 需要打開上面設置的代理埠, 允許其它機器訪問

檢驗

首先打開 Nginx 日誌

tail -f /usr/loca/nginx/logs/access.log

在另一臺伺服器上, 使用 curl 工具進行測試, 下麵的命令中需要將192.168.9.160:3128換成自己環境下配置的代理伺服器IP和埠

curl https://twitter.com/ -v -x 192.168.9.160:3128

如果代理工作正常, 如果輸出如下結果, 則表示配置成功

* About to connect() to proxy 192.168.9.160 port 3128 (#0)
*   Trying 192.168.9.160...
* Connected to 192.168.9.160 (192.168.9.160) port 3128 (#0)
* Establish HTTP proxy tunnel to twitter.com:443
> CONNECT twitter.com:443 HTTP/1.1
> Host: twitter.com:443
> User-Agent: curl/7.29.0
> Proxy-Connection: Keep-Alive
>
< HTTP/1.1 200 Connection Established
< Proxy-agent: nginx
<
* Proxy replied OK to CONNECT request
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: none
* SSL connection using TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
* Server certificate:
...
< HTTP/1.1 200 OK
< Date: Wed, 13 Mar 2024 08:16:22 GMT
...