nginx回源合规关键在于精准配置proxy_ssl_ciphers并协同proxy_ssl_protocols、proxy_ssl_ecdh_curve、proxy_ssl_trusted_certificate与proxy_ssl_verify四项，确保tls版本、曲线、证书校验及加密套件整体满足等保三级、金融国密或政企ca等内网硬性要求。
要让 Nginx 回源请求满足内网特定合规性要求（比如等保三级、金融行业 TLS 最低强度、或政企自建 CA 体系限制），关键不是堆砌套件，而是精准控制 proxy_ssl_ciphers 并与协议、曲线、校验行为协同生效。
明确合规边界，再选套件组合
不同内网环境对加密算法有硬性约束。例如：
- 某些政务云禁止使用 SHA-1 摘要、禁用 RSA 密钥交换、强制要求 PFS（前向保密）
- 部分金融系统仅允许国密 SM2/SM4（此时需用支持国密的定制版 OpenSSL+Nginx，标准版不支持）
- 国企内网可能要求禁用所有 ECDSA 套件，只认 ECDHE-RSA + AES-GCM
建议先用 openssl ciphers -v 'ECDHE-RSA:AESGCM:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK' 验证当前 OpenSSL 支持哪些符合逻辑的套件，再从中筛选出满足你单位《SSL/TLS 实施规范》第X条的子集。
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
配置 proxy\_ssl\_ciphers 的实操要点
该指令只作用于 Nginx 主动发起的回源 HTTPS 连接（即 proxy_pass https://... 场景），顺序即协商优先级，无需 proxy_ssl_prefer_server_ciphers（Nginx 不支持该指令）：
- 推荐写法（兼顾安全性与常见后端兼容）：
proxy_ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:CHACHA20-POLY1305-SHA256; - 若内网后端只支持 TLS 1.2 且不支持 ChaCha20，可去掉最后一项
- 如需显式排除风险算法，直接追加否定项更清晰：
proxy_ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!SRP:!CAMELLIA";
必须配套的三项基础配置
单独设 proxy_ssl_ciphers 几乎无效，以下三项必须同步配置：
-
TLS 协议版本锁定：内网合规通常要求禁用 TLS 1.0/1.1
proxy_ssl_protocols TLSv1.2 TLSv1.3; -
椭圆曲线指定：避免因服务端曲线不匹配导致协商失败或降级
proxy_ssl_ecdh_curve secp384r1:prime256v1;（优先 secp384r1，fallback prime256v1） -
证书校验策略对齐：若内网使用私有 CA，必须加载信任链
proxy_ssl_trusted_certificate /etc/nginx/ssl/internal-ca-bundle.pem;<br>proxy_ssl_verify on;
（禁用校验仅限测试，生产环境不合规）
验证是否真正生效
不能只看配置语法正确。建议在 upstream 或 location 块中临时加日志：
- 开启 SSL debug 日志（谨慎用于生产）：
error_log /var/log/nginx/ssl-debug.log debug;，搜索SSL_do_handshake和cipher:行 - 用后端服务器抓包（如 tcpdump + Wireshark），查看 ClientHello 中 advertised ciphers 是否与配置一致
- 若后端是 Nginx，检查其
$ssl_cipher变量记录的实际协商结果
