nginx作为多云对象存储统一网关时，必须严格区分前端证书（对外https）与后端证书验证策略：对公有云oss/cos/s3启用proxy_ssl_verify on并指定系统ca包，对自签名minio则设proxy_ssl_verify off或加载私有ca；需按信任模型分组upstream、显式开启proxy_ssl_server_name并校验sni，避免tls握手失败导致502错误。
多云环境下，Nginx 作为统一入口网关，常需代理来自不同云厂商（如阿里云 OSS、腾讯云 COS、AWS S3 兼容接口、自建 MinIO）的后端对象存储服务。此时若各后端使用不同证书体系（如公有云用 CA 签发证书、私有 MinIO 用自签名证书），而 Nginx 配置未做区分处理，极易触发 TLS 握手失败、502 Bad Gateway 或客户端签名验证异常——本质是 Nginx 与后端建立 HTTPS 连接时证书校验不通过，导致反向代理链路中断。
明确区分“前端证书”与“后端证书验证策略”
前端证书（client ↔ Nginx）用于对外 HTTPS 服务，必须匹配公网域名；后端证书（Nginx ↔ 后端）仅用于 Nginx 主动连接后端时的 TLS 校验，二者完全独立，不可混用。
- 前端配置只管 ssl_certificate 和 ssl_certificate_key，绑定你的域名（如 s3.example.com）
- 后端连接必须显式控制证书信任行为：对公有云存储（如 COS、OSS），保持默认校验（proxy_ssl_verify on）；对自签名 MinIO 或内网 S3 兼容服务，必须关闭校验或指定可信 CA
- 关键指令：proxy_ssl_verify off;（禁用校验）或 proxy_ssl_trusted_certificate /path/to/ca-bundle.crt;（启用校验并指定根证书）
按后端类型分组 upstream，避免证书策略污染
不要把所有云存储后端塞进同一个 upstream。应按证书信任模型拆分，确保每个 upstream 内部策略一致：
- 公有云组（含 COS、OSS、S3）：启用校验 + 指定系统 CA 包（如 /etc/ssl/certs/ca-certificates.crt）
- 私有 MinIO 组：禁用校验，或单独部署一套由私有 CA 签发的证书，并在 Nginx 中加载该 CA
- 示例片段：
upstream cos_backend {
server cos.ap-beijing.myqcloud.com:443;
proxy_ssl_verify on;
proxy_ssl_trusted_certificate /etc/ssl/certs/ca-certificates.crt;
}
upstream minio_internal {
server 10.10.20.5:9000;
proxy_ssl_verify off;
}
强制指定 SNI 主机名，解决部分云存储 TLS 握手失败
某些云存储网关（尤其兼容 S3 的私有实现）依赖 SNI 才能正确路由和返回证书。Nginx 默认会将 proxy_ssl_server_name on 关闭，必须手动开启并传入目标主机名：
- 在对应 location 块中添加：proxy_ssl_server_name on;
- 同时设置：proxy_set_header Host $host;（确保后端收到正确 Host 头）
- 若后端要求特定 SNI 名（如 bucket.region.cos.myqcloud.com），可用 proxy_ssl_name 显式覆盖：
proxy_ssl_name "bucket-1250000000.cos.ap-beijing.myqcloud.com";
验证与调试：确认每条链路真实生效
不能只测浏览器访问，要逐段验证：
- 用 curl 模拟 Nginx 行为：
curl -v --resolve s3.example.com:443:YOUR_NGINX_IP https://s3.example.com/bucket/key（看是否命中预期 upstream） - 在 Nginx 日志中开启 debug 级 SSL 日志：
error_log /var/log/nginx/error.log debug_ssl;，观察 “SSL_do_handshake() failed” 或 “certificate verify failed” 具体位置 - 检查后端实际返回证书：
openssl s_client -connect cos.ap-beijing.myqcloud.com:443 -servername cos.ap-beijing.myqcloud.com 2>/dev/null | openssl x509 -text -noout | grep -E "(CN|DNS)"
