Nginx代理HTTPS服务时忽略证书验证的配置与实践-育师

1. 为什么需要忽略HTTPS证书验证？

在企业内部网络架构中，Nginx作为反向代理服务器时，经常会遇到需要代理到后端HTTPS服务的情况。但有些特殊场景下，后端服务可能使用自签名证书、过期证书或测试环境证书，此时严格验证证书会导致代理失败。我曾在一个金融项目迁移过程中，就遇到过测试环境证书过期导致整个代理链路中断的情况。

典型的应用场景包括：

开发测试环境使用自签名证书
内部服务使用私有CA签发的证书
临时测试第三方API但对方证书不受信任
证书轮换期间的过渡阶段

重要提示：生产环境强烈不建议禁用证书验证，这会导致中间人攻击风险。仅在受控的内部网络或明确知晓风险的情况下使用此配置。

2. 核心配置参数解析

2.1 proxy_ssl_verify指令

这是控制证书验证的核心指令，语法为：

proxy_ssl_verify on | off;

设置为off时，Nginx将不会验证后端服务器的证书有效性。典型配置示例：

location /api/ { proxy_pass https://backend-service; proxy_ssl_verify off; }

2.2 proxy_ssl_trusted_certificate

即使关闭验证，有时仍需要指定CA证书链：

proxy_ssl_trusted_certificate /path/to/ca_cert.pem;

这个指令在以下情况特别有用：

使用私有CA但不想完全关闭验证
只信任特定CA签发的证书
需要验证证书链但不验证主机名

2.3 proxy_ssl_server_name

当后端使用SNI（Server Name Indication）时：

proxy_ssl_server_name on;

这个配置告诉Nginx在TLS握手时发送服务器名称指示，对于以下场景必需：

后端是虚拟主机托管多个HTTPS服务
使用云服务商的负载均衡器
CDN节点需要识别具体服务

3. 完整配置示例与调试

3.1 基础忽略验证配置

server { listen 80; server_name proxy.example.com; location / { proxy_pass https://internal-service:8443; proxy_ssl_verify off; proxy_ssl_session_reuse on; # 保持原始请求头 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; } }

3.2 带部分验证的配置

location /secure/ { proxy_pass https://partial-trust-service; proxy_ssl_verify on; proxy_ssl_verify_depth 2; proxy_ssl_trusted_certificate /etc/nginx/conf.d/private-ca.crt; # 超时设置 proxy_connect_timeout 5s; proxy_read_timeout 30s; }

3.3 常见错误排查

证书验证错误仍然出现
- 检查Nginx版本是否支持proxy_ssl_verify（要求1.7.0+）
- 确认配置块层级正确（应在location或server块）

SNI相关问题

openssl s_client -connect backend:443 -servername example.com

使用此命令测试SNI是否正常工作

性能问题
- 启用ssl_session_cache和ssl_session_tickets
- 设置合理的proxy_ssl_session_reuse

4. 安全替代方案

完全关闭证书验证存在安全风险，以下是一些更安全的替代方案：

4.1 使用固定证书指纹

proxy_ssl_verify on; proxy_ssl_trusted_certificate /path/to/ca.pem; proxy_ssl_verify_depth 2; proxy_ssl_certificate /path/to/client.pem; proxy_ssl_certificate_key /path/to/client.key;

4.2 私有CA部署流程

创建私有CA：

openssl genrsa -out ca.key 2048 openssl req -new -x509 -days 365 -key ca.key -out ca.crt

为服务端生成证书：

openssl genrsa -out server.key 2048 openssl req -new -key server.key -out server.csr openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt

将CA证书分发到所有Nginx节点

4.3 证书透明度监控

即使使用自签名证书，也应实施监控：

# 使用openssl定期检查证书有效期 openssl s_client -connect service:443 2>/dev/null | openssl x509 -noout -dates

5. 性能优化与最佳实践

5.1 连接复用配置

proxy_http_version 1.1; proxy_set_header Connection ""; proxy_ssl_session_reuse on; # 连接池配置 upstream backend { server backend1.example.com:443; keepalive 32; }

5.2 超时参数调优

proxy_connect_timeout 3s; proxy_send_timeout 10s; proxy_read_timeout 30s;

5.3 日志记录策略

log_format ssl_proxy '$remote_addr - $remote_user [$time_local] ' '"$request" $status $body_bytes_sent ' '"$http_referer" "$http_user_agent" ' '$ssl_protocol/$ssl_cipher ' '$upstream_addr $upstream_status $upstream_response_time';

6. 实际案例：混合环境部署

在某次跨云迁移项目中，我们需要配置Nginx代理到新旧两个数据中心的HTTPS服务：

map $cookie_DC $backend { default "https://new-dc.example.com"; "old" "https://old-dc.example.com"; } server { location / { proxy_pass $backend; proxy_ssl_verify off; # 旧数据中心使用自签名证书 # 新数据中心启用完整验证 if ($backend ~* "new-dc") { proxy_ssl_verify on; proxy_ssl_trusted_certificate /etc/ssl/certs/ca-bundle.crt; } } }

这个配置实现了：