主页 / server / 问题 / 47876
In Process
alemartini
Asked: 2009-07-30 18:58:33 +0800 CST

使用带有 nginx 的单个端口处理 http 和 https 请求

  • 772

我想知道 nginx 是否能够在同一端口上处理 http 和 https 请求。[*]

这就是我想要做的。我正在运行一个处理 http 请求的 Web 服务器 (lighttpd)，以及一个通过 https 为文档树的特定部分提供服务的 C 程序。这两个进程在同一台服务器上运行。

在防火墙级别，我只能有一个端口将流量转发到此服务器。所以我想做的是在这台服务器上设置 nginx，以便它监听单个端口上的请求，然后：

A) 重定向所有http://myhost.com/ * 请求，以便它们转到 localhost:8080 （lighttpd 正在监听的地方）

B) 如果用户请求以 https://myhost.com/app 开头的 URL，它将将该请求发送到 localhost:8008（C 程序）。请注意，在这种情况下，远程浏览器和 nginx 之间的流量必须加密。

你认为这可能吗？如果是，怎么办？

我知道如何使用两个不同的端口来做到这一点。我面临的挑战是仅使用一个端口来执行此操作（不幸的是，我无法控制此特定环境中的防火墙配置，因此这是我无法避免的限制）。通过 ssh 使用反向端口转发等技术绕过防火墙也不起作用，因为这应该适用于只有 Web 浏览器和 Internet 链接的远程用户。

如果这超出了 nginx 的能力，你知道还有其他产品可以满足这个要求吗？（到目前为止，我没有成功用 lighttpd 和 pound 进行设置）。我也更喜欢避免使用 Apache（尽管如果它是唯一可能的选择，我愿意使用它）。

提前致谢， 亚历克斯

[*] 为了清楚起见，我说的是通过同一个端口处理加密和未加密的 HTTP 连接。加密是通过 SSL 还是 TLS 都没有关系。

http nginx lighttpd https

9 个回答

  1. 根据关于状态码的维基百科文章，当 http 流量发送到 https 端口时，Nginx 有一个自定义错误代码（错误代码 497）

    根据error_page 上的 nginx 文档，您可以定义一个 URI，该 URI 将针对特定错误显示。
    因此，我们可以创建一个 uri，当出现错误代码 497 时，客户端将被发送到该 uri。

    nginx.conf

    #lets assume your IP address is 89.89.89.89 and also that you want nginx to listen on port 7000 and your app is running on port 3000

server {
    listen 7000 ssl;
 
    ssl_certificate /path/to/ssl_certificate.cer;
    ssl_certificate_key /path/to/ssl_certificate_key.key;
    ssl_client_certificate /path/to/ssl_client_certificate.cer;

    error_page 497 301 =307 https://89.89.89.89:7000$request_uri;

    location / {
        proxy_pass http://89.89.89.89:3000/;

        proxy_pass_header Server;
        proxy_set_header Host $http_host;
        proxy_redirect off;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Protocol $scheme;
    }
}

    但是，如果客户端通过除 GET 之外的任何其他方法发出请求，则该请求将转换为 GET。从而保留客户端进来的请求方法；我们使用错误处理重定向，如error_page 上的 nginx 文档所示

    这就是我们使用301 =307重定向的原因。

    使用此处显示的 nginx.conf 文件，我们可以让 http 和 https 在同一个端口上侦听

    • 21

  2. 对于那些可能正在搜索的人：

    ssl on;将和添加error_page 497 $request_uri;到您的服务器定义。

    • 18

  3. 从 1.15.2 开始，这终于可以正常进行了。请参阅此处的信息。

    在你的 nginx.conf 中添加这样的块（在 http 块之外）：

    stream {
    upstream http {
        server localhost:8000;
    }

    upstream https {
        server localhost:8001;
    }

    map $ssl_preread_protocol $upstream {
        default https;
        "" http;
    }

    server {
        listen 8080;
        listen [::]:8080;
        proxy_pass $upstream;
        ssl_preread on;
    }
}

    然后你可以创建你的普通服务器块，但监听这些不同的端口：

    server {
    listen 8000;
    listen [::]:8000;
    listen 8001 ssl;
    listen [::]:8001 ssl;
...

    这样，流块能够预读并检测它是否是 TLS（在本示例中为端口 8080），然后代理将其传递到本地正确的服务器端口。

    • 6

  4. 如果你想变得更聪明，你可以使用连接代理来嗅探传入数据流的前几个字节，并根据字节 0 的内容传递连接：如果它是 0x16（SSL/TLS '握手'字节），将连接传递到 SSL 端，如果是字母字符，则执行普通 HTTP。我对端口编号的评论适用。

    • 4

  5. 是的，这是可能的，但需要修补 nginx 源代码（HoverHell 有无需修补的解决方案）。Nginx 将此视为错误配置而不是有效配置。

    变量 $ssl_session_id 可用于区分普通连接和 ssl 连接。

    针对 nginx-0.7.65 的补丁：

    --- src/http/ngx_http_request.c-orig    2011-05-03 15:47:09.000000000 +0200
+++ src/http/ngx_http_request.c 2011-05-03 15:44:01.000000000 +0200
@@ -1545,12 +1545,14 @@

    c = r->connection;

+    /* disable plain http over https port warning
     if (r->plain_http) {
         ngx_log_error(NGX_LOG_INFO, c->log, 0,
                       "client sent plain HTTP request to HTTPS port");
         ngx_http_finalize_request(r, NGX_HTTP_TO_HTTPS);
         return;
     }
+    */

#if (NGX_HTTP_SSL)

    服务器配置：

    server {
    listen 80;
    index index.html;

    location / {
        root html;
        if ($ssl_session_id) {
            root html_ssl;
        }
    }

    ssl on;
    ssl_certificate cert.crt;
    ssl_certificate_key cert.key;
}
    • 2

  6. 我认为没有任何东西可以在一个端口上处理两种不同的协议......

    我很好奇为什么你只能转发一个端口，但除此之外......这并不理想，但如果我站在你的立场上，我会通过 https 提供一切服务。

    • 1

  7. 您不能在同一个端口上同时支持 HTTP 和 HTTPS，因为连接的两端都希望使用某种语言，而且它们还不够聪明，无法判断另一端是否在使用其他语言。

    正如您对 Wil 的回答所建议的那样，您可以使用 TLS 升级（我相信较新的 nginx 版本支持它，虽然我没有尝试过），但这不是运行 HTTP 和 HTTPS，只是运行带有 TLS 升级的 HTTP。问题仍然是浏览器支持——大多数浏览器（仍然）不支持它。但是，如果您的客户群有限，那么这是可能的。

    • 1

  8. 我不确定它是如何实现的，但是 CUPSD 在端口 631 上同时响应 http 和 https。如果 nginx 现在不能这样做，也许他们可以学习 CUPS 团队是如何实现它的，但 CUPS 在GPL，因此如果 Nginx 确实想要实现这样的功能并且在其他地方找不到这样做的代码，他们可能不得不考虑更改其许可证。

    • 0

  9. 理论上，您可以拥有一个可通过 HTTP 访问的网页，该网页能够在 https:443 上打开一个WebSocket到它想要的任何地方。WebSocket 初始握手是 HTTP。所以，是的，有可能使看起来不安全的页面实际上能够进行安全通信。你可以用Netty Library做到这一点。

    • 0

相关问题