如何配置Nginx实现基于SNI的动态后端HTTPS转发实战-Nginx-PHP中文网

nginx可通过stream上下文+ssl_preread模块实现基于sni的动态https后端转发，需openssl≥1.1.1、nginx≥1.19.4并启用ngx_stream_ssl_preread_module，利用$ssl_preread_server_name变量路由至不同上游。

如何配置nginx实现基于sni的动态后端https转发实战

要实现基于SNI的动态后端HTTPS转发，Nginx本身不直接解析SNI并据此选择后端，但可通过结合OpenSSL 1.1.1+、Nginx 1.19.4+ 的 ssl_preread 模块与变量提取能力，在TLS握手阶段读取SNI，并用作反向代理决策依据——关键在于启用stream上下文的四层代理，而非http上下文。

前提：确认环境支持SNI预读

Nginx必须启用ngx_stream_ssl_preread_module（默认静态编译进官方主线版≥1.19.4；若为旧版或自编译，需确认含--with-stream_ssl_preread_module）。运行以下命令验证：

nginx -V 2>&1 | grep -o with-stream-ssl-preread-module

若无输出，需升级或重编译Nginx。同时确保系统OpenSSL ≥ 1.1.1（SNI预读依赖ALPN/SNI扩展解析）。

配置stream块提取SNI并路由到不同后端

在nginx.conf顶层（不在http块内）添加stream块，利用$ssl_preread_server_name变量做匹配：

stream {
    upstream backend_app1 {
        server 10.0.1.10:443;
    }
    upstream backend_app2 {
        server 10.0.1.20:443;
    }
<pre class="brush:php;toolbar:false;">map $ssl_preread_server_name $upstream_backend {
    hostnames;
    app1.example.com backend_app1;
    app2.example.com backend_app2;
    default backend_app1;
}

server {
    listen 443 ssl preread;
    ssl_preread on;
    proxy_pass $upstream_backend;
    proxy_ssl on;
    proxy_ssl_protocols TLSv1.2 TLSv1.3;
    proxy_ssl_verify off; # 若后端证书非公信CA签发，暂禁用校验（生产建议配trusted_certificate）
    proxy_ssl_server_name on; # 将原始SNI透传给后端
}

}

listen 443 ssl preread：启用TLS预读监听，不终止SSL，仅提取SNI
proxy_ssl_server_name on：把客户端SNI值作为server_name发给后端，便于后端（如另一台Nginx或应用）做二次SNI路由
proxy_ssl_verify off：开发调试可用；生产环境应设为on并指定proxy_ssl_trusted_certificate

后端服务需支持SNI响应（常见场景说明）

该方案本质是四层代理，后端必须能独立处理HTTPS流量：

若后端是另一台Nginx：需配置server { server_name app1.example.com; ssl_certificate ... }，并开启ssl_protocols和对应证书
若后端是gRPC/Node.js/Go等应用：需自行实现TLS监听并根据SNI返回对应证书（如Go用tls.Config.GetCertificate回调）
不支持SNI的后端（如老版本Apache未配NameVirtualHost）将无法区分域名，所有请求都走默认证书

验证与排错要点

用openssl s_client测试SNI是否被正确传递：

openssl s_client -connect your-nginx-ip:443 -servername app1.example.com -showcerts 2>/dev/null | openssl x509 -noout -text | grep "Subject.*CN\|DNS"

若返回证书CN为app1.example.com，说明SNI已成功路由至对应后端。常见问题：

SNI为空：客户端未发送SNI（如极老curl），或Nginx未启用ssl_preread on
502 Bad Gateway：后端不可达、证书不匹配、或proxy_ssl_verify on但未配可信CA
证书警告：后端返回了默认证书（非SNI匹配证书），检查后端SNI配置是否生效