Apache mod_proxy 怎么配置双向认证安全连接-Apache-PHP中文网

apache mod_proxy 通过 sslproxy* 指令实现与后端的双向tls认证：必须启用 sslproxyengine on、sslproxyverify require、sslproxycacertificatefile（后端ca）、sslproxymachinecertificatefile（apache客户端证书），缺一不可。

apache 的 mod_proxy 本身不直接实现“双向认证”，但它可以作为 https 客户端，在反向代理到后端服务时，启用并强制执行 tls 双向认证（即：apache 验证后端服务器证书 + 后端服务器也验证 apache 提供的客户端证书）。这常用于高安全场景，比如 apache 代理访问内部受控的 api 网关、kubernetes apiserver 或金融后端，要求双方身份互信。

要让 mod_proxy 与后端建立带双向 TLS 认证的安全连接，核心是配置 mod_ssl 提供的 SSLProxy* 指令族，并确保 Apache 主动提供自己的客户端证书给后端校验。

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

✅ 必须配置的四项关键指令（缺一不可）

SSLProxyEngine on
启用代理模式下的 SSL/TLS 功能。不加这一行，所有 HTTPS 后端连接都会失败（日志报 SSL Proxy requested but SSLProxyEngine is not enabled）。
SSLProxyCACertificateFile /path/to/backend-ca.crt
指定后端服务器证书所依赖的根 CA 证书（PEM 格式）。不能复用 Apache 自己的 SSLCACertificateFile，也不能用系统默认 CA；必须是后端实际使用的私有 CA 或中间 CA 证书。文件权限建议 600，属主为 Apache 运行用户（如 apache 或 www-data）。
SSLProxyMachineCertificateFile /path/to/apache-client.pem
Apache 作为客户端需向后端出示的证书+私钥组合（PEM 格式，私钥和证书可合并或分开，推荐合并为单文件）。该证书必须由后端信任的同一 CA 签发（例如你自建的私有 CA），且不能是自签名或 Let’s Encrypt 等公有 CA 签发的——因为公有 CA 不签发客户端用途证书。
SSLProxyVerify require
强制要求后端返回有效证书，并由 Apache 主动校验。仅设此项还不够，必须配合 SSLProxyCACertificateFile 和 SSLProxyCheckPeer* 系列指令，否则握手会静默失败或报 500。

? 补充强校验指令（推荐启用）

SSLProxyCheckPeerName on
启用对后端证书中 SAN（Subject Alternative Name）字段的主机名匹配。若后端证书含 DNS:api.internal，而你 ProxyPass 到 https://api.internal/，此选项确保域名一致。
⚠️ 注意：必须同时设置 SSLProxyCheckPeerCN off（禁用旧式 CN 匹配），否则可能因 CN 不匹配被拒绝。
SSLProxyCheckPeerExpire on
校验后端证书是否过期。若后端时间与 Apache 服务器偏差超过 ±5 分钟，连接会被拒绝（无明确错误提示，只显示 502/503）。
SSLProxyProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
明确限定只允许 TLS 1.2+，避免协议降级风险。后端若只支持 TLS 1.3，可进一步收紧为 TLSv1.3。
SSLProxyCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
指定强密码套件，优先使用前向保密（PFS）算法。搭配 SSLProxyHonorCipherOrder on 确保顺序生效。

? 完整配置示例（HTTPS 反向代理 + 双向 TLS）

<virtualhost>
    ServerName gateway.example.com
    SSLEngine on
    SSLCertificateFile /etc/apache2/ssl/server.crt
    SSLCertificateKeyFile /etc/apache2/ssl/server.key

    # 启用代理 TLS 客户端能力
    SSLProxyEngine on
    SSLProxyVerify require
    SSLProxyCheckPeerName on
    SSLProxyCheckPeerCN off
    SSLProxyCheckPeerExpire on
    SSLProxyProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
    SSLProxyHonorCipherOrder on
    SSLProxyCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384

    # 指向后端信任的 CA（不是你自己的 CA！）
    SSLProxyCACertificateFile /etc/apache2/ssl/backend-root-ca.crt

    # Apache 向后端出示的客户端证书（含私钥）
    SSLProxyMachineCertificateFile /etc/apache2/ssl/apache-client.pem

    # 代理规则
    ProxyPreserveHost On
    ProxyPass / https://backend.internal:8443/
    ProxyPassReverse / https://backend.internal:8443/

    # （可选）记录证书验证结果便于排错
    LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{SSL_CLIENT_VERIFY}x" combined-ssl
</virtualhost>

❗ 常见失败原因与排查要点

后端返回 502 Bad Gateway 或 Apache 错误日志出现 SSL handshake failed：
→ 检查 SSLProxyMachineCertificateFile 是否包含完整证书链+私钥，且私钥未加密（或已用 SSLProxyMachineCertificatePassword 解密）；
→ 确认 SSLProxyCACertificateFile 内容是后端所用 CA 的根证书（非中间证书），且无空行/注释；
→ 用 openssl s_client -connect backend.internal:8443 -cert apache-client.pem -CAfile backend-root-ca.crt 手动测试连通性。
后端拒绝 Apache 客户端证书：
→ 确保 Apache 的客户端证书由后端信任的 CA 签发，且证书 Extended Key Usage 包含 clientAuth；
→ 检查后端是否要求特定 OU/CN 字段，Apache 证书需匹配。
Apache 日志无明确报错但连接超时：
→ 检查 SSLProxyCheckPeerExpire on 是否因时间不同步触发拒绝（同步 NTP）；
→ 确认 mod_ssl 和 mod_proxy_http 已加载：apachectl -M | grep -E "(ssl|proxy)" 应输出 ssl_module (shared) 和 proxy_http_module (shared)。

不复杂但容易忽略。