如何通过stream_preread模块提取明文特征实现精准四层分流-Nginx-PHP中文网

stream_preread模块仅能提取TCP连接初期未加密的固定位置明文特征实现四层分流，如TLS SNI、MySQL握手包、PostgreSQL启动消息等，不支持解析HTTP或解密TLS；推荐优先使用ssl_preread on配合$ssl_preread_server_name变量进行SNI路由。

如何通过stream_preread模块提取明文特征实现精准四层分流

Stream_preread 模块本身不支持提取明文特征做四层分流，因为它工作在 TCP/UDP 层，无法解析应用层协议内容（如 HTTP 头、TLS SNI、MySQL 认证包等），更不能解密 TLS 流量。所谓“提取明文特征”，实际依赖的是客户端在建立连接初期**未加密、未分片、固定位置**发送的原始字节，例如：

一、真正可用的“明文特征”有哪些

这些是 stream_preread 能安全读取的原始数据片段：

TLS ClientHello 中的 SNI 域名：位于 ClientHello 扩展字段，明文传输，位置可预测（通常在偏移 42–50 字节后开始）
MySQL 初始握手包中的协议版本、服务器版本、认证插件名：前 4 字节为协议版本，后续含 null 结尾字符串
PostgreSQL 启动消息（StartupMessage）中的 client_encoding、database、user 等键值对：ASCII 编码，以 \0 分隔
Redis PING 或 AUTH 命令的原始请求头（如 *1\r\n$4\r\nPING\r\n）：简单协议，首几个字节即指令标识
自定义私有协议的 magic number 或版本号：例如前 2 字节固定为 0x1234

二、stream_preread 配置的关键细节

必须精确控制读取长度和匹配逻辑，否则易误判或截断：

preread_buffer_size：设为略大于目标特征最大可能位置（如 SNI 最大 255 字节 + 偏移，建议设为 1024；MySQL 握手包一般 ≤ 256 字节）
preread_timeout：设为 1s 内（如 500ms），避免阻塞连接；超时后按默认 upstream 转发
不依赖正则全文匹配：用 map + preread_variables 提取固定偏移子串，再做字符串比较（Nginx 1.19.5+ 支持 $preread_buffer 变量）

三、典型 SNI 分流实操（TLS 四层路由）

这是最常用且稳定的场景：

stream {
    map $preread_buffer $upstream_backend {
        ~*^\x16\x03[\x01-\x03].{62,300}(\x00\x00)(.{2})(.{2,255})\x00.*$  $sni_host;
        default                                                  default_backend;
    }
<pre class="brush:php;toolbar:false;"># 提取 SNI 主机名（需配合 perl 或 lua 模块，或升级到支持 preread_buffer 的 Nginx）
# 更稳妥做法：用 stream_ssl_preread on（Nginx 1.11.5+）自动解析 SNI
upstream web_a { server 192.168.1.10:443; }
upstream web_b { server 192.168.1.11:443; }
upstream default_backend { server 192.168.1.100:443; }

server {
    listen 443;
    proxy_pass $upstream_backend;
    ssl_preread on;  # ✅ 关键：启用内建 SNI 解析（无需手动 parse buffer）
}

}