nginx配置端口转发SSL

下面例子介绍配置nginx实现SSL端口到非SSL端口，以及非SSL端口到SSL端口的转发功能。

1. 创建两个REST Service

非SSL server ，监听端口18080，提供服务：

$ curl http://<yourhostname>:18080/service/hello                                             
{"hello":"http"}

SSL server，监听端口18081，提供服务：

$ curl --cacert ./tlsca.pem https://<yourhostname>:18081/service/hello
{"hello":"https"}

2. 安装nginx

下载：nginx-1.16.0

./configure --prefix=/path/to/nginx --with-stream --with-stream_ssl_module

3. 配置nginx

在conf/nginx.conf里面增加下面一节：

stream {
    upstream http_hello {
        server <yourhostname>:18080;
    }
    upstream https_hello {
        server <yourhostname>:18081;
    }

    # http(28080) -> http(18080)
    server {
        listen *:28080;
        proxy_pass http_hello;
    }

    # https(28081) -> https(18081)
    server {
        listen *:28081 ssl;
        proxy_pass https_hello;
        proxy_ssl  on;

        ssl_certificate     /path/to/tlsserver.pem;
        ssl_certificate_key /path/to/tlsserver.key.pem;
    }
}

这个配置里面，nginx提供两个端口服务：28080和28081，分别映射到http服务端口(18080)和https服务端口(18081)，启动nginx，测试：

$ ./sbin/nginx -s reload

$ curl http://<yourhostname>:28080/service/hello
{"hello":"http"}

$ curl --cacert ./tlsca.pem https://<yourhostname>:28081/service/hello
{"hello":"https"}

可见nginx的端口转发功能是正常的。

4. SSL端口到非SSL端口的转发

在前面第3步中，实现的是SSL端口到SSL端口，以及非SSL端口到非SSL端口的转发；很多时候我们需要SSL端口到非SSL端口的转发，也就是说我们提供的服务是非SSL的，但是出于安全的考虑这个服务并不对外发布，然后对外通过nginx提供外部访问服务，然后把客户端的SSL请求转发到内部的非SSL服务端口。
下面的例子，nginx发布SSL端口28091，然后把请求转到内部的非SSL端口18080。

stream {
    upstream http_hello {
        server <yourhostname>:18080;
    }
    upstream https_hello {
        server <yourhostname>:18081;
    }

    # https -> http
    server {
        listen *:28091 ssl;
        proxy_pass http_hello;

        ssl_certificate     /path/to/tlsserver.pem;
        ssl_certificate_key /path/to/tlsserver.key.pem;
    }
}

验证：

$ curl --cacert ./tlsca.pem https://<yourhostname>:28091/service/hello
{"hello":"http"}

5. 非SSL端口到SSL端口的转发

这个场景是根据前面第4个场景对比出来的，但我真想不出真实是不是有这种需求。

下面的例子，nginx发布非SSL端口28090，然后把请求转到内部的SSL端口18081。

stream {
    upstream http_hello {
        server <yourhostname>:18080;
    }
    upstream https_hello {
        server <yourhostname>:18081;
    }

    # http -> https
    server {
        listen *:28090;
        proxy_pass https_hello;
        proxy_ssl  on;

        ssl_certificate     /path/to/tlsserver.pem;
        ssl_certificate_key /path/to/tlsserver.key.pem;
    }
}

测试：

$ curl http://<yourhostname>:28090/service/hello
{"hello":"https"}