怎么利用 $proxy_protocol_tlv_ 变量提取四层代理透传过来的上游 SSL 握手元数据-Nginx-PHP中文网

OpenResty/Nginx 本身不解析 TLS，$proxy_protocoltlv* 变量仅能被动读取上游代理（如 HAProxy）注入的 PROXYv2 TLV 数据，如 SNI（0x06）、ALPN（0x07）等；需上游启用 send-proxy-v2-ssl 且 Nginx listen 配置 proxy_protocol，否则变量为空。

怎么利用 $proxy_protocol_tlv_ 变量提取四层代理透传过来的上游 ssl 握手元数据

OpenResty（或 Nginx）本身并不原生支持通过 $proxy_protocol_tlv_* 变量直接提取 TLS 握手阶段的元数据（如 ALPN、SNI、Client Hello 里的扩展字段），因为 PROXY protocol v2 的 TLV（Type-Length-Value）扩展仅用于携带**连接层元信息**（如客户端真实 IP、端口、SSL 协商结果等），而这些字段必须由上游代理（如 HAProxy、Envoy、Cloudflare Spectrum）在建立 TCP 连接后、TLS 握手前，主动解析 Client Hello 并将关键字段以标准 TLV 类型写入 PROXYv2 header。

也就是说：能否用 $proxy_protocol_tlv_* 提取 SSL 元数据，完全取决于上游代理是否做了 TLS 解析 + TLV 注入，Nginx/OpenResty 本身不解析 TLS 流量，也不生成这些变量。它只是被动读取 PROXYv2 header 中已存在的 TLV 块。

确认上游是否真正透传了 TLS 相关 TLV

PROXY protocol v2 定义了若干标准 TLV type，与 TLS 相关的有：

0x06 — SNI（Server Name Indication），value 是 UTF-8 字符串，如 example.com
0x07 — ALPN（Application-Layer Protocol Negotiation），value 是长度前缀的二进制列表，如 \x02h2\x08http/1.1
0x08 — Client Certificate（可选，通常不启用）
0x09 — TLS version（如 \x03\x04 表示 TLS 1.3）
0x0A — Cipher suite（如 \x13\x02 表示 TLS_AES_256_GCM_SHA384）

只有当上游代理（如 HAProxy 2.5+ 启用 send-proxy-v2-ssl）在 PROXYv2 header 中写入了这些 TLV，Nginx 才能通过内置变量访问：

TradeMemory Protocol

专为MT5/外汇交易者设计的AI交易记忆。记录每笔交易，发现交易模式，获取AI驱动的智能分析与自动策略调整。唯一...

下载

log_format tlv_log '$remote_addr - $remote_user [$time_local] '
                    '"$request" $status $body_bytes_sent '
                    'sni="$proxy_protocol_tlv_06" alpn="$proxy_protocol_tlv_07"';
<p>access_log /var/log/nginx/tls_info.log tlv_log;
</p>

在 OpenResty 中安全使用 $proxy\_protocol\_tlv\_ 变量

这些变量是“惰性解析”的：只有在首次引用时才从 PROXYv2 header 中提取对应 TLV。需注意：

变量名严格为 $proxy_protocol_tlv_XX（XX 是两位十六进制，小写，如 _06、_07），不支持 _6 或 _6a
若 TLV 不存在，变量值为空字符串（不是未定义），可用 if ($proxy_protocol_tlv_06 != "") { ... } 判断
ALPN（_07）值是二进制格式，含长度前缀；直接记录日志可能乱码，建议用 Lua 解析：

set_by_lua_block $alpn_list {
    local tlv = ngx.var.proxy_protocol_tlv_07
    if not tlv or #tlv == 0 then return "" end
    local i, res = 1, {}
    while i <h3>常见失败原因与验证方法</h3><p>如果 <code>$proxy_protocol_tlv_06</code> 始终为空，请检查：</p>

上游代理是否启用 PROXYv2 + SSL TLV：HAProxy 需 send-proxy-v2-ssl；Envoy 需 transport_socket.tls + use_proxy_proto: true 并配置 additional_transport_socket_options
Nginx 是否启用 PROXY protocol：listen 指令必须带 proxy_protocol，如 listen 443 ssl proxy_protocol;
连接是否走对端口：PROXY protocol 必须在 TCP 层透传，不能被中间 NAT、四层 LB 截断或降级为 PROXYv1
用 tcpdump 抓包验证：过滤 tcp port 443 and tcp[((tcp[12:1] & 0xf0) >> 2) : 2] == 0x0d0a 查 PROXYv2 signature，再看后续是否有 06/07 TLV

替代方案：无法依赖 TLV 时怎么办

若上游不支持或不愿注入 TLV，又必须获取 SNI/ALPN，可行路径有：

前置 TLS 终结：让 HAProxy/Envoy 做 TLS termination，把 SNI/ALPN 作为 HTTP header（如 X-Ssl-Sni）或 custom log field 透传给 Nginx
OpenResty + ssl_preread：启用 stream { server { ssl_preread on; set $sni $ssl_preread_server_name; ... } } —— 但此方式要求 Nginx 自己做 TLS 握手前置解析，无法与 http 块共享变量，且不支持 ALPN 提取
自定义 PROXYv2 解析模块：用 Lua 编写 stream 阶段 parser（较重，一般不推荐）