proxy_ssl_certificate 本身不实现双向认证，仅让 nginx 向上游出示客户端证书；完整 mtls 需协同 proxy_ssl_certificate_key、proxy_ssl_verify、proxy_ssl_trusted_certificate 等指令，确保 nginx 作为客户端身份可信且能校验后端证书合法性。

proxy_ssl_certificate 本身不用于实现双向证书认证（mTLS）到后端服务，它仅用于让 Nginx 自身在反向代理出向连接时，向上游 HTTPS 后端出示客户端证书——这是上游（后端）要求 Nginx 作为客户端 进行身份认证的场景，属于「Nginx → 后端」这一方向的 TLS 客户端认证。

真正实现「负载均衡层对后端的双向认证」，关键不是 proxy_ssl_certificate 单独起作用，而是它与 proxy_ssl_certificate_key、proxy_ssl_verify 等指令协同配置，构成完整的出向 mTLS 链路。下面分重点讲清楚怎么做：

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

明确角色：Nginx 是“上游客户端”，后端是“上游服务器”

当 Nginx 用 proxy_pass https://backend-svc 转发请求时，它主动发起 TLS 连接。若后端（如 Spring Boot 微服务、Envoy、或另一个 Nginx）启用了客户端证书校验（即要求 mTLS），那么 Nginx 就必须提供合法的客户端证书+私钥，并验证后端证书合法性。

必需的四要素配置（缺一不可）

• proxy_ssl_certificate /path/to/nginx-client.crt —— Nginx 向后端出示的证书（由后端信任的 CA 签发）
• proxy_ssl_certificate_key /path/to/nginx-client.key —— 对应的私钥，需严格权限控制（如 600）
• proxy_ssl_verify on —— 启用对后端服务器证书的校验（防止连错/被劫持）
• proxy_ssl_trusted_certificate /path/to/upstream-ca-bundle.pem —— 后端服务器证书链所依赖的根/中间 CA 证书（PEM 格式，可拼多个）

补充关键指令（否则易失败）

• proxy_ssl_name "backend.example.com" —— 显式指定期望的后端域名，用于匹配后端证书中的 SAN 字段；若 proxy_pass 用 IP 或变量（如 https://$host），此项必须设置
• proxy_ssl_server_name on —— 启用 SNI，确保 TLS 握手时发送正确 server_name，尤其对接泛域名或云服务后端时必需
• proxy_ssl_verify_depth 2 —— 若后端证书由二级中间 CA 签发（根 CA → 中间 CA → 后端证书），此处需设为 2，否则校验失败
• proxy_ssl_protocols TLSv1.2 TLSv1.3 —— 明确协议范围，禁用不安全旧版本

典型 location 配置示例

以下配置让 Nginx 在访问 /api/ 时，以 mTLS 方式连接后端，并校验其身份：

location /api/ {
  proxy_pass https://backend-svc;
  proxy_ssl_certificate /etc/nginx/certs/client-cert.pem;
  proxy_ssl_certificate_key /etc/nginx/certs/client-key.pem;
  proxy_ssl_verify on;
  proxy_ssl_trusted_certificate /etc/nginx/certs/upstream-ca.pem;
  proxy_ssl_name "backend.example.com";
  proxy_ssl_server_name on;
  proxy_ssl_verify_depth 2;
  proxy_ssl_protocols TLSv1.2 TLSv1.3;
}

常见踩坑点

• 证书路径不可读（Nginx worker 进程无权限读取 .key 文件）→ 检查文件属主和权限
• proxy_ssl_trusted_certificate 内容不是 PEM 格式根证书，而是终端证书或中间证书 → 必须是可信 CA 的公钥证书（.crt/.pem）
• proxy_ssl_name 值与后端证书 SAN 不匹配（比如写了 www.api.com，但后端证书只有 api.com）→ 校验直接失败
• 未开启 proxy_ssl_server_name，导致后端无法识别虚拟主机 → 特别在共享 IP 多域名部署中必现
• proxy_ssl_session_reuse on（默认）→ 可能复用旧 TLS session，跳过证书重校验 → 生产建议显式设为 off