使用 NGINX 1.15.2 在同一端口上运行 SSL 和非 SSL 协议

NGINX | 2018年7月24日

今天，我们很高兴地宣布NGINX Open Source 1.15.2正式发布。此版本的一项主要功能是新增$ssl_preread_protocol变量。使用TCP（stream）代理转发流量时，该变量可用于区分SSL/TLS与其他协议。例如，如果希望通过在同一端口上运行SSL/TLS和SSH服务来避免防火墙限制，此功能会很有帮助。

这项新功能也将在即将发布的NGINX Plus R16版本中向NGINX Plus客户提供。

何时以及如何使用`$ssl_preread_protocol`

使用http或stream模块终止并解密SSL/TLS流量时，$ssl_protocol（http、stream）变量会捕获客户端使用的SSL或TLS版本。但有时可能只需转发SSL/TLS流量而不进行解密，并使用stream模块实现基本的TCP代理或负载均衡器。

The stream_ssl_preread模块会检查SSL或TLS连接中的初始ClientHello消息，并提取多个可用于管理连接的值。版本1.15.2中新增的$ssl_preread_protocol变量会从ClientHello消息的client_version字段中获取最新的SSL/TLS版本号。如果ClientHello消息中存在supported_versions扩展，则该变量将设置为TLSv1.3。

如果连接未使用任何版本的SSL或TLS，$ssl_preread_protocol变量将为空，表示该连接使用的是SSL/TLS以外的协议，例如SSH。

以下配置片段在$ssl_preread_protocol变量中使用map块，根据连接所使用的协议，将$upstream变量设置为相应上游组的名称。随后，proxy_pass指令会将请求转发到所选的上游组。请注意，必须在ssl_preread on指令必须包含在server块中，$ssl_preread_protocol变量才能生效。

stream {    upstream ssh {
        server 192.0.2.1:22;
    }

    upstream web {
        server 192.0.2.2:443;
    }

    map $ssl_preread_protocol $upstream {
        default ssh;
        "TLSv1.2" web;
    }

    # SSH and SSL on the same port
    server {
        listen 443;

        proxy_pass $upstream;
        ssl_preread on;
    }
}