Nginx无法原生实现按访问者地域动态切换SSL证书，因TLS握手时地理信息不可用；可行方案包括：一、多域名+地理DNS路由；二、边缘网关前置分流；三、OpenResty+Lua动态证书；四、统一SAN证书覆盖全地域。
Nginx 本身不支持“基于地理位置自动选择并分发不同 SSL 证书”的原生能力。它在 TLS 握手阶段（SNI 之后、HTTP 请求之前）就需确定使用哪张证书，而此时请求头（如 X-Forwarded-For、$geoip_country_code）尚未解析，地理信息不可用。所以不能靠 Nginx 单独实现“按访问者地域动态切换证书”。
但可通过合理架构组合达成近似效果，关键在于：把“地理判断”前置到能影响 TLS 层决策的位置，或用多实例+边缘路由替代单点智能。
以下为可行且生产验证过的主流方案：
一、使用多域名 + 地理 DNS 路由（最常用、最稳定）
让不同地区的用户解析到不同子域名，再为每个子域名配置独立的 SSL 证书和 server 块：
-
cn.example.com→ 解析到中国节点，配.cn.crt证书 -
us.example.com→ 解析到美国节点，配.us.crt证书 -
eu.example.com→ 解析到欧洲节点，配.eu.crt证书
✅ 实现方式：
- 在 DNS 服务商（如 Cloudflare、阿里云云解析、DNSPod）启用「智能解析」或「GSLB」，按访问 IP 的地理位置返回对应 A/AAAA 记录
- 每个后端 Nginx 实例只负责一个地域子域名，
server_name明确绑定，ssl_certificate指向本地对应证书 - 所有子域名共用主站逻辑（如反向代理到同一套后端），仅证书与 CDN 节点分离
⚠️ 注意：需为每个子域名单独申请并维护证书（支持通配符或 SAN 多域名证书可简化管理）
二、通过边缘网关前置做地理分流（推荐用于云环境）
将地理识别与 TLS 终止前移到更外层的组件，Nginx 退为纯 HTTP 反向代理：
- 用户请求 → Cloudflare / AWS CloudFront / 阿里云全站加速（支持 GeoIP 路由 + 自动证书管理）
- 边缘节点根据
$cf_ipcountry或$http_x_amz_cf_pop判断地域 - 匹配规则后，将请求转发至对应地域的 Nginx 入口（如
nginx-cn.internal、nginx-us.internal） - 各 Nginx 实例监听 80/443，但仅处理内部流量，SSL 已由边缘终止；若需二次加密（mTLS），可配置上游证书，但无需按地域切 SSL 证书
✅ 优势：
- 证书由边缘自动轮换（如 Cloudflare 免费 Universal SSL、AWS ACM）
- Nginx 配置零改动，专注业务逻辑
- 支持精细策略（如仅对欧盟用户强制 HSTS、对特定国家屏蔽）
三、Nginx + Lua + OpenResty（进阶，有限适用）
若必须在 Nginx 层完成地理判断并差异化证书，需借助 OpenResty + ssl_certificate_by_lua* 钩子（Nginx 官方版不支持）：
- 编译安装 OpenResty（含
ngx_http_ssl_module和lua-resty-core） - 在
http块中定义证书映射表（如cert_map = { cn = "/etc/ssl/certs/cn.crt", us = "/etc/ssl/certs/us.key" }） - 使用
ssl_certificate_by_lua_block读取$remote_addr，查 GeoIP 库（如resty.maxminddb），动态设置ssl_certificate和ssl_certificate_key
⚠️ 限制：
- 仅支持 OpenSSL 1.1.1+ 且 Nginx ≥ 1.19.0
-
ssl_certificate_by_lua*不支持 SNI 多域名混用场景，证书路径必须提前加载进内存 - 性能开销略高，调试复杂，不适合高并发核心入口
四、证书统一化：用泛域名或多 SAN 证书覆盖全部地域
最务实的解法：避免“差异化”，改用一张证书兼容所有目标地域：
- 申请
*.example.com+example.com+cn.example.com+us.example.com的 SAN 证书 - Nginx 中
server_name列出全部域名，ssl_certificate指向该统一证书 - 地理逻辑（如内容本地化、语言跳转）完全交由
map指令或后端处理：
map $geoip_country_code $lang {
default en;
CN zh-CN;
JP ja;
KR ko;
}
server {
listen 443 ssl;
server_name example.com *.example.com;
ssl_certificate /etc/ssl/certs/unified.crt;
ssl_certificate_key /etc/ssl/certs/unified.key;
location / {
proxy_set_header X-Language $lang;
proxy_pass http://backend;
}
}
不复杂但容易忽略：地理判断本身（$geoip_country_code）需提前通过 geoip2 模块加载 MaxMind DB，并在 http 块初始化，和 SSL 证书选择是正交问题。
