如何利用 Nginx 的 map 指令实现基于加密协议版本的流量分流测试-Nginx-PHP中文网

Nginx的map指令不能直接获取TLS版本，但可通过内置变量$ssl_protocol（需HTTPS启用且Nginx≥1.1.13、OpenSSL≥1.1.1）配合map精确匹配TLSv1.2/TLSv1.3，实现基于协议版本的动态上游路由或响应头注入，用于灰度测试与兼容性验证。

如何利用 nginx 的 map 指令实现基于加密协议版本的流量分流测试

Nginx 的 map 指令本身无法直接获取 TLS 协议版本（如 TLSv1.2、TLSv1.3），因为该信息在 HTTP 层不可见——它属于 SSL/TLS 握手阶段，由 OpenSSL 或系统底层处理，Nginx 默认不将其暴露为变量。但通过合理组合 Nginx 内置变量与模块扩展，可以间接实现基于加密协议版本的流量分流测试。关键在于：利用 $ssl_protocol 变量（需启用 HTTPS 且配置正确）配合 map 构建路由逻辑。

确认并启用 $ssl_protocol 变量

$ssl_protocol 是 Nginx 官方支持的内置变量，仅在 SSL 连接建立后有效，值为实际协商成功的协议名（如 TLSv1.2 或 TLSv1.3）。要使用它，必须满足：

监听端口已配置 ssl on（或使用 listen 443 ssl）
已正确设置 ssl_certificate 和 ssl_certificate_key
Nginx 版本 ≥ 1.1.13（推荐 ≥ 1.15.0 以更好支持 TLSv1.3）
OpenSSL 版本 ≥ 1.1.1（否则无法协商 TLSv1.3）

用 map 指令映射协议版本到自定义变量

在 http 块中定义 map，将 $ssl_protocol 映射为可读性强、便于后续判断的标识符：

map $ssl_protocol $tls_version {
    default     "unknown";
    TLSv1.2     "v12";
    TLSv1.3     "v13";
}

该变量可在 server 或 location 块中用于条件判断。注意：map 不支持正则匹配协议名，只做精确字符串匹配，因此值必须与 Nginx 实际输出完全一致（区分大小写，无空格）。

结合 if 或 proxy_pass 实现分流测试

不能在 if 中直接调用 proxy_pass，但可通过变量控制 upstream 名称或 header 注入，再由后端识别。更稳妥的做法是用 map 配合 proxy_pass 动态路由：

Nginx Config Linter

对 Nginx 配置文件进行语法检查、验证和安全、性能审计。

下载

upstream backend_v12 { server 10.0.1.10:8080; }
upstream backend_v13 { server 10.0.1.11:8080; }
<p>map $ssl_protocol $upstream_backend {
default         backend_v12;
TLSv1.2         backend_v12;
TLSv1.3         backend_v13;
}</p><p>server {
listen 443 ssl;</p><h1>... ssl 配置省略 ...</h1><pre class="brush:php;toolbar:false;">location / {
    proxy_pass http://$upstream_backend;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-TLS-Version $ssl_protocol;
}

}

这样，TLSv1.3 流量会转发到独立后端，便于灰度验证兼容性或性能差异。也可用 add_header 向响应注入 X-TLS-Version，方便前端或日志分析验证分流是否生效。