必须用HTTP七层代理透传客户端TLS证书信息，因stream模块不支持$ssl_client_*变量及证书校验；四层代理仅能SSL Passthrough，由后端自行处理证书。
在 Nginx 中代理 TCP 流量并透传 TLS 证书，本质是两件事的组合：一是用 stream 模块做四层 TCP 代理，二是让客户端证书信息能安全、完整地抵达后端。但要注意——stream 模块本身不支持客户端证书校验或透传 $ssl_client_* 变量，这些变量只存在于 HTTP（七层）上下文中。所以“透传 TLS 证书”不能靠 stream 块直接实现，必须明确场景再选路径。
场景一：你需要终止 TLS 并验证客户端证书（mTLS），再把证书信息转给后端服务
这属于七层代理，必须用 http 块，而非 stream：
- 启用双向 TLS：
ssl_verify_client on，并配置可信 CA 证书（ssl_client_certificate） - 用
$ssl_client_escaped_cert代替$ssl_client_cert设置 header，避免换行截断：proxy_set_header X-Client-Cert-Escaped $ssl_client_escaped_cert; - 同时透传校验结果和身份字段：
proxy_set_header X-Client-Verify $ssl_client_verify;proxy_set_header X-Client-DN $ssl_client_s_dn;proxy_set_header X-Client-CN $ssl_client_s_dn_cn; - 确保 Nginx ≥ 1.19.7，否则
$ssl_client_escaped_cert不可用
场景二：你不想终止 TLS，只想根据 SNI 转发加密 TCP 流（SSL Passthrough）
这是真正的四层透传，Nginx 不解密、不校验证书，自然也无法提取或透传客户端证书内容：
- 启用
stream模块，并打开 SNI 预读：ssl_preread on; - 用
map $ssl_preread_server_name实现基于域名的路由 - 后端服务自己完成 TLS 终结和客户端证书校验，Nginx 只负责转发原始字节流
- 此时“透传证书”实际由客户端直连后端完成，Nginx 不参与也不感知
常见误区与关键提醒
以下操作无法达成目标，需避开：
- 在
stream块里写ssl_verify_client on—— 语法错误，该指令仅在http的server块中有效 - 试图在
stream中使用$ssl_client_cert或类似变量 —— 这些变量根本不存在于 stream 上下文 - 把客户端证书验证逻辑放在 Nginx，却用 stream 代理后端 —— 验证发生在 Nginx，但证书信息无法传出，后端收不到
- 用
proxy_set_header在 stream 块中设置 header —— stream 不支持 HTTP header，该指令只在 http 模块中生效
结论很直接：要透传客户端 TLS 证书内容，必须走 HTTP（七层）代理路径；若坚持用 TCP（四层）代理，则证书校验和使用完全由后端承担，Nginx 只做透明管道。
