Nginx代理HTTPS服务时忽略证书验证的配置与优化

1. Nginx代理HTTPS服务时忽略证书验证的典型场景

在实际运维工作中，我们经常会遇到这样的需求：通过Nginx反向代理访问后端HTTPS服务时，需要临时忽略SSL证书验证。这种情况通常出现在以下场景中：

• 测试环境使用自签名证书，但不想在每个节点都安装相同的CA证书
• 对接第三方服务时证书链不完整，但业务上又必须快速完成对接
• 开发环境使用临时域名，证书尚未正式申请
• 需要代理到动态生成的服务端点，无法预先配置证书

重要提示：生产环境强烈不建议关闭证书验证，此配置仅适用于测试或特殊场景。忽略证书验证会降低通信安全性，可能遭受中间人攻击。

2. 核心配置参数解析

2.1 proxy_ssl_verify指令

这是控制证书验证的核心指令，语法为：

nginx复制proxy_ssl_verify on | off;

当设置为off时，Nginx将不会验证后端服务器的证书有效性。典型配置示例：

nginx复制location /api/ {
    proxy_pass https://backend-service;
    proxy_ssl_verify off;
}

2.2 proxy_ssl_trusted_certificate

即使关闭验证，有时仍需要指定CA证书路径：

nginx复制proxy_ssl_trusted_certificate /path/to/ca.crt;

这个指令在以下情况特别有用：

• 仅想信任特定CA颁发的证书
• 混合环境中既有正式证书又有自签名证书

2.3 proxy_ssl_server_name

当后端使用SNI(Server Name Indication)时需启用：

nginx复制proxy_ssl_server_name on;

这个指令告诉Nginx在TLS握手时发送前端请求的Host头，对于现代云服务特别重要。

2.4 proxy_ssl_session_reuse

控制是否复用SSL会话，可提升性能：

nginx复制proxy_ssl_session_reuse on;

实测表明，在高并发场景下开启会话复用可以降低约30%的TLS握手开销。

3. 完整配置示例与参数调优

3.1 基础忽略验证配置

nginx复制server {
    listen 80;
    server_name proxy.example.com;
    
    location / {
        proxy_pass https://backend.example.com;
        proxy_ssl_verify off;
        proxy_ssl_server_name on;
        
        # 保持连接相关参数
        proxy_http_version 1.1;
        proxy_set_header Connection "";
        
        # 超时设置
        proxy_connect_timeout 60s;
        proxy_read_timeout 600s;
    }
}

3.2 高级调优配置

对于生产环境中的特殊需求，可以采用更精细的控制：

nginx复制proxy_ssl_protocols TLSv1.2 TLSv1.3;
proxy_ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
proxy_ssl_verify_depth 2;
proxy_ssl_session_timeout 5m;

这些参数可以：

• 限制使用的TLS协议版本
• 指定优先使用的加密套件
• 控制证书链验证深度
• 设置会话缓存时间

4. 常见问题排查指南

4.1 证书验证相关错误

即使设置了proxy_ssl_verify off，仍可能遇到以下错误：

错误1：SSL_do_handshake() failed

code复制SSL_do_handshake() failed (SSL: error:14094418:SSL routines:ssl3_read_bytes:tlsv1 alert unknown ca)

解决方案：

1. 检查后端服务是否支持SNI
2. 确认proxy_ssl_server_name已启用
3. 尝试指定proxy_ssl_name为后端实际使用的域名

错误2：certificate verify failed

code复制certificate verify failed (unable to get local issuer certificate)

解决方案：

1. 虽然关闭了验证，但某些OpenSSL版本仍需要基本证书链
2. 设置proxy_ssl_trusted_certificate指向任意有效CA证书

4.2 性能调优技巧

1. 会话复用优化：

nginx复制proxy_ssl_session_reuse on;
proxy_ssl_session_timeout 5m;

2. 连接池配置：

nginx复制upstream backend {
    server backend1.example.com:443;
    keepalive 32;
}

server {
    location / {
        proxy_pass https://backend;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
    }
}

3. 缓冲区调优：

nginx复制proxy_buffer_size 16k;
proxy_buffers 4 32k;
proxy_busy_buffers_size 64k;

5. 安全注意事项与最佳实践

虽然忽略证书验证提供了便利，但必须注意以下安全风险：

1. 中间人攻击风险：关闭验证后，攻击者可能伪装成后端服务
2. 数据泄露风险：无法确保通信对方的真实身份
3. 合规性问题：某些行业规范明确要求必须验证证书

折中方案：

• 开发环境使用自签名证书，但将其安装到Nginx的信任库
• 使用单独的CA为测试环境签发证书
• 通过防火墙限制只能从Nginx服务器访问后端HTTPS服务

对于必须长期使用此配置的场景，建议至少添加IP白名单：

nginx复制location / {
    proxy_pass https://backend;
    proxy_ssl_verify off;
    allow 192.168.1.0/24;
    deny all;
}

6. 调试工具与技巧

6.1 OpenSSL诊断命令

检查后端SSL服务基本情况：

bash复制openssl s_client -connect backend.example.com:443 -servername backend.example.com

6.2 Nginx调试日志

启用详细SSL日志：

nginx复制error_log /var/log/nginx/ssl_error.log debug;

6.3 流量抓包分析

使用tcpdump观察TLS握手过程：

bash复制tcpdump -i eth0 -w ssl.pcap port 443

然后用Wireshark分析：

1. 过滤tls.handshake查看握手过程
2. 检查Client Hello中的SNI字段
3. 验证证书链是否完整

7. 版本兼容性说明

不同Nginx版本对SSL代理的支持有所差异：

特别提醒：如果使用较旧的Nginx版本(低于1.11)，在代理现代云服务时可能会遇到SNI相关问题，建议至少使用1.18+版本。