Linux怎么配置Nginx作为透明代理 Nginx透明转发实战详解-LINUX-PHP中文网

nginx本身不支持真正的网络层透明代理，所谓“透明”多为误称，实际是正向或反向代理；真透明需iptables+tproxy+自编译nginx组合实现，而95%场景用反向代理+x-forwarded-for即可满足业务无感需求。

linux怎么配置nginx作为透明代理 nginx透明转发实战详解

nginx 本身不支持真正的透明代理（Transparent Proxy），即无法像 iptables + TPROXY 那样在不修改客户端请求头、保留原始目标 IP 的前提下完成四层透明转发。如果你看到“Nginx 透明代理”的提法，大概率是混淆了概念——实际是「正向代理」或「反向代理」配置被误称为“透明”。

下面直说怎么做、为什么这么设、哪里容易翻车：

为什么 `nginx` 不能做网络层透明代理

透明代理要求：客户端发包时目的 IP 是真实后端地址，而网关/代理设备在内核层面截获并重定向流量，且不改写 Destination IP。这必须依赖 Linux 内核的 TPROXY 目标 + socket 选项 IP_TRANSPARENT，而 nginx 的 stream 模块仅支持普通 proxy_pass（即显式转发，会改写五元组），不支持绑定非本机 IP 或绕过路由栈。

常见误解来源：proxy_bind $remote_addr transparent 看似“透明”，但它只在启用 IP_TRANSPARENT socket 且配合 iptables 规则时才可能生效——而 nginx 官方二进制默认不启用该能力，编译时需加 --with-stream_realip_module 和内核支持，且仍受限于用户态转发本质，无法替代 TPROXY。

`stream` 模块模拟“类透明”转发的实操条件

若你只是想让客户端无感知地走 nginx 中转（比如统一出口、审计、TLS 卸载前透传），可用 stream 做四层转发，但注意它仍是“显式代理”：

客户端必须把流量发到 nginx 监听的 IP:Port，不是原始目标地址
nginx 会新建连接到后端，源 IP 是 nginx 本机（除非用 proxy_bind 绑定特定接口）
要传递原始客户端 IP，需配合 proxy_protocol（要求下游服务支持）或 realip 模块（仅限 HTTP）

示例（TCP 透传）：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

stream {
    upstream backend {
        server 192.168.10.5:443;
    }
    server {
        listen 443;
        proxy_pass backend;
        proxy_protocol on;  # 启用 PROXY 协议头
        proxy_timeout 30s;
    }
}

⚠️ 注意：proxy_protocol on 只是添加文本头，下游必须解析（如另一台 nginx 配 set_real_ip_from + real_ip_header proxy_protocol），否则拿到的是 nginx 的 IP。

真透明代理必须组合 `iptables + TPROXY + nginx stream`

若你确有内核级透明需求（例如旁路镜像、防火墙策略穿透、ISP 级流量干预），必须走标准路径：

开启内核参数：net.ipv4.ip_forward = 1、net.ipv4.conf.all.forwarding = 1
用 iptables 标记并重定向流量到 nginx 的 stream 监听端口（非本机 IP）：
iptables -t mangle -A PREROUTING -d 192.168.10.100 -p tcp --dport 443 -j TPROXY --on-port 12345 --on-ip 0.0.0.0
nginx 必须用自编译版本，启用 --with-stream_ssl_preread_module 和 --with-stream_realip_module
stream 配置中启用 proxy_bind $remote_addr:0 transparent，且监听套接字需 setsockopt(IP_TRANSPARENT)

这个链路极脆弱：任意一环缺失（如未加载 xt_TPROXY_ipv4 模块、SELinux 阻断、nginx 权限不足）都会静默失败，错误日志里往往只显示 connection refused 或无响应。

更现实的选择：别硬刚透明，改用反向代理 + `X-Forwarded-For`

95% 的所谓“透明代理”需求，其实只需要让客户端像访问真实服务一样访问 nginx，由 nginx 转发并补全原始信息。这时用 http 模块就够了：

location / {
    proxy_pass https://backend.example.com;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

关键点：