nginx可通过stream模块实现smtp等邮件协议的tcp层透明转发，需启用--with-stream、在顶层配置stream块并监听对应端口（如25/465），配合upstream转发至公网邮件服务器，内网客户端直连代理ip即可发信。
nginx 本身不直接支持标准的 SMTP 正向代理（即客户端通过 HTTP 代理发邮件），但可以通过 stream 模块 实现 TCP 层的透明转发，从而让内网主机把邮件服务（如 SMTP）流量经由 nginx 转发到公网邮件服务器。这种方式适用于监控系统、运维脚本等无法直连外网但需发邮件的场景。
SMTP 邮件发送：用 stream 模块做 TCP 代理
这是最常用且稳定的方式，不依赖 HTTP 协议，绕过 HTTPS 代理的复杂性，专为 SMTP/POP3/IMAP 等邮件协议设计。
- 编译安装时必须启用
--with-stream和--with-mail（虽 mail 模块主要用于反向代理邮件服务器，但 stream 是核心） - 在
nginx.conf的顶层（不在 http 块内）添加 stream 配置：
stream {
upstream smtp_163 {
server smtp.163.com:25;
}
server {
listen 25;
proxy_pass smtp_163;
proxy_timeout 10s;
proxy_responses 1;
}
}
- 内网主机 A 的邮件客户端（如 sendmail、msmtp 或应用中配置的 SMTP 地址）只需指向代理机 B 的 IP + 端口（如
192.168.10.20:25），其余保持不变 - 若目标邮件服务商强制使用加密端口（如 QQ 邮箱 465/587、163 邮箱 465），可同样监听并转发：
server {
listen 465 ssl;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;
proxy_pass smtp.qq.com:465;
}
注意：SSL 终止在此处非必需；如仅做透传，去掉 ssl 关键字，直接 listen 465 + proxy_pass smtp.qq.com:465 即可（要求 nginx ≥1.9.0，且内核支持 SO_ORIGINAL_DST）
管理服务访问：HTTP/HTTPS 正向代理（带 DNS 解析）
当需要从内网访问外部 Web 管理界面（如云平台控制台、SaaS 后台、远程运维门户）时，需配置基于 HTTP 的正向代理，并支持动态域名解析和 HTTPS 透传。
- 在
http块中定义一个专用 server，监听代理端口（如 8080）：
server {
listen 8080;
resolver 8.8.8.8 valid=30s;
location / {
proxy_pass $scheme://$http_host$request_uri;
proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_redirect off;
}
}
- 客户端（如浏览器或 curl）需显式配置代理地址：
http://代理IP:8080 - 对 HTTPS 请求，nginx 默认无法解密转发；如需完整支持，必须额外加载
ngx_http_proxy_connect_module模块（对应 nginx 1.25.x 及以下版本），并在配置中启用 CONNECT 方法：
location / {
proxy_connect;
proxy_connect_allow 443 563;
proxy_connect_timeout 10s;
proxy_timeout 30s;
proxy_pass https://$http_host;
}
安全与可用性关键点
实际部署中容易忽略但直接影响稳定性：
- 防火墙需放行代理机 B 的监听端口（如 25、465、8080），同时确保其能 outbound 访问目标邮件服务器端口（telnet smtp.163.com 25 测试通路）
- 避免使用
$host替代$http_host，否则带端口的请求（如 example.com:8080）会被错误重写 - resolver 必须配置，否则域名无法解析；建议用内网 DNS 或公共 DNS（如 114.114.114.114）
- 生产环境建议限制 client_max_body_size、启用 access_log 记录转发行为，便于审计与排障
验证方式简单有效
不用重启服务即可快速确认是否生效：
- SMTP：在内网主机执行
echo "test" | nc 代理IP 25，看是否返回 220 开头的 SMTP 欢迎 banner - HTTP 代理：用 curl 测试
curl -x http://代理IP:8080 https://httpbin.org/ip，返回真实出口 IP 即成功 - HTTPS 代理（含 CONNECT）：用浏览器设置代理后访问任意 HTTPS 网站，检查地址栏锁图标是否正常
