如何配置 Nginx 实现 HTTPS 流量的分流：基于 SNI 的四层转发实战-Nginx-PHP中文网

nginx可通过sni在四层实现https流量分流，无需解密tls，依赖≥1.19.4版本、openssl≥1.1.1及启用stream_ssl_preread模块，在stream块中用map匹配$ssl_preread_server_name路由。

如何配置 nginx 实现 https 流量的分流：基于 sni 的四层转发实战

Nginx 实现 HTTPS 流量分流，关键不在解密，而在“不拆包却知目标”——利用 TLS 握手时客户端主动携带的 SNI（Server Name Indication）字段，在四层（TCP 层）完成精准路由。这种方式不终止 TLS、不解析 HTTP 内容，转发零拷贝、性能高、兼容性强，特别适合多 HTTPS 服务共用 443 端口的场景。

确认环境支持 SNI 预读能力

这是前提，缺一不可：

Nginx 版本 ≥ 1.19.4（官方主线版默认内置 ngx_stream_ssl_preread_module）
OpenSSL 版本 ≥ 1.1.1（SNI 和 ALPN 解析依赖其扩展支持）
配置中未禁用 stream 模块及相关 SSL 预读模块

运行以下命令验证模块是否可用：

nginx -V 2>&1 | grep -o with-stream-ssl-preread-module

若无输出，需升级 Nginx 或重编译时添加 --with-stream-ssl-preread-module 参数。

在 stream 块中定义上游与 SNI 映射规则

注意：所有配置必须写在 http 块之外的顶层 stream 块内，不能嵌套在 http 中。

典型结构如下：

Nginx Config Linter

对 Nginx 配置文件进行语法检查、验证和安全、性能审计。

下载

stream {
    upstream app1_backend {
        server 10.0.1.10:443;
    }
    upstream app2_backend {
        server 10.0.1.20:443;
    }

    map $ssl_preread_server_name $upstream_backend {
        hostnames;
        app1.example.com app1_backend;
        app2.example.com app2_backend;
        default app1_backend;
    }

    server {
        listen 443 ssl preread;
        ssl_preread on;
        proxy_pass $upstream_backend;
        proxy_ssl on;
        proxy_ssl_protocols TLSv1.2 TLSv1.3;
        proxy_ssl_verify off;
        proxy_ssl_server_name on;
    }
}

说明：

listen 443 ssl preread 表示监听 443 端口并启用 SSL 预读模式
proxy_ssl on 启用代理到上游的 TLS 连接（即后端也走 HTTPS）
proxy_ssl_server_name on 把原始 SNI 透传给后端，便于后端识别虚拟主机
proxy_ssl_verify off 仅用于测试；生产环境应配 proxy_ssl_trusted_certificate 并开启校验

区分 TLS 终止与 TLS 透传两种模式

根据实际需求选择：

TLS 透传（推荐多数场景）：Nginx 不提供证书，只读 SNI 并转发加密流。配置中不写 ssl_certificate，ssl_preread on 即可
TLS 终止 + 明文转发：Nginx 自己处理 TLS 握手（需配置证书），再以明文（如 HTTP）发给后端。这属于七层行为，不在 stream 块内实现
TLS 终止 + 重加密（mTLS 场景）：Nginx 终止客户端 TLS，再用另一套证书向上游发起 TLS 连接，需启用 ngx_stream_ssl_module 并配置 proxy_ssl_certificate