Nginx正向代理实战：解决服务器无法直接连接外网问题-Nginx-PHP中文网

Nginx可作HTTP正向代理，但官方不支持HTTPS正向代理；HTTP代理需配置resolver和proxy_pass动态转发，HTTPS需编译第三方connect模块并监听CONNECT请求，且必须限制访问权限、记录日志、避免公网暴露。

nginx正向代理实战：解决服务器无法直接连接外网问题

当服务器因安全策略或网络隔离无法直连外网时，Nginx 可以作为正向代理，让内网服务通过它“间接”访问外部 HTTP/HTTPS 资源。但要注意：Nginx 官方不原生支持 HTTPS 正向代理（即 CONNECT 方法），仅支持 HTTP 正向代理；若需代理 HTTPS 流量，需借助第三方模块（如 ngx_http_proxy_connect_module）或改用 Squid 等专用代理工具。

HTTP 正向代理配置（适用于内网调用外部 HTTP 接口）

Nginx 本身可通过 proxy_pass 在 location 块中实现简易 HTTP 正向代理，适用于客户端明确指定目标 URL 的场景（如 curl http://api.example.com，且该请求被发往 Nginx 代理地址）。

确保 Nginx 编译时未禁用 http_proxy 模块（默认启用）
在 http 或 server 块中添加如下配置：

server {
    listen 8080;
    resolver 114.114.114.114;  # 必须配置 DNS 解析器
    location / {
        proxy_pass http://$http_host$request_uri;  # 动态转发到原始 Host
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

此时客户端需将请求发往 http://nginx-ip:8080/http://target.com/path（即把完整目标 URL 当作 path），Nginx 会解析并代理。这种方式较“非标准”，适合内部脚本调用，不推荐用于浏览器。

HTTPS 正向代理（需额外编译模块）

浏览器或 curl 访问 HTTPS 站点时，会先发送 CONNECT 请求建立隧道，Nginx 默认不处理该方法。要支持，必须引入 ngx_http_proxy_connect_module：

下载对应 Nginx 版本的模块源码，重新编译 Nginx（添加 --add-module=...）
配置示例：

server {
    listen 3128;
    # 允许 CONNECT 方法
    proxy_connect;
    proxy_connect_allow 443 563;
    proxy_connect_timeout 10s;
    proxy_connect_read_timeout 10s;
    proxy_connect_send_timeout 10s;
<pre class="brush:php;toolbar:false;"># 后续 HTTPS 流量走隧道，无需再配置 proxy_pass
resolver 114.114.114.114;

}

配置完成后，客户端（如 curl、wget 或系统级代理设置）可设 http://nginx-ip:3128 为代理，即可访问 HTTPS 网站。注意：该端口仅响应 CONNECT 请求，不处理普通 HTTP 请求。

实际使用建议与注意事项

权限控制必加：正向代理极易被滥用为开放代理。务必限制访问来源，例如：allow 192.168.10.0/24; + deny all;
不要暴露在公网：即使加了 allow，也应配合防火墙（如 iptables）仅放行可信 IP 的连接
日志记录关键字段：在 server 块中添加 log_format connect '$remote_addr - [$time_local] "$request" $status $body_bytes_sent';，便于审计代理行为
替代方案更稳妥：若仅需服务器出网，优先考虑系统级代理（export http_proxy=...）、SNAT（iptables + 网关机器），或部署轻量 Squid（原生支持完整正向代理语义）