ngx.exec，proxy_pass https失败

willibhamlll · 2016-06-15T16:27:19+00:00

Hello在 2016年12月13日下午3:52，骆国辉 <2544...@qq.com>写道：非&#x...

ngx.exec，proxy_pass https失败

willibhamlll

nginx.conf配置：

lua脚本部分内容：

问题：

proxy_pass http://client1 没问题

proxy_pass https://client1 不行

请教如何转发https请求？

paulvon73

如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令

还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:

nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？

willibhamlll

谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。

不使用lua脚本，https请是可以正常转发的。但使用了lua之后，只能转发http请求，转发https请求就会报错。因为我觉得可能跟lua_ssl配置有关，但是不是太熟悉，还没找到具体问题。报错日志是“[error] 3645#0: *127 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 192.168.116.1, server: localhost, request: "GET /test/n.jpg HTTP/1.1", upstream: "https://127.0.0.1:8090/test/n.jpg", host: "192.168.116.145"”

在 2016年6月15日星期三 UTC+8下午5:13:09，Paul Von写道：

如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？

zhuhonglei

location /proxy/ {
     internal;
    rewrite ^/proxy/(https?)/([^/]+)/(\d+)/(.*)     /$4 break;
    proxy_pass      $1://$2:$3;
}

local wechatTokenHost = 'https/api.weixin.qq.com/443'

local res = ngx.location.capture('/proxy/' .. wechatTokenHost .. '/yaotv/user/userinfo', {

    method = ngx.HTTP_GET,
    args = {appid=appid,access_token=token,code=code}
});

------------------

朱大仙儿

手机：18513379185
微信号：wx23456346
QQ: 23456346

天脉聚源（北京）传媒科技有限公司/互动云研发部

北京市东城区安定门东大街雍和大厦E座8层

------------------ Original ------------------

From: "K"<willi...@gmail.com>;

Date: Wed, Jun 15, 2016 05:55 PM

To: "openresty"<openresty@googlegroups.com>;

Subject: [openresty] Re: ngx.exec，proxy_pass https失败

谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。

如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？

anymaybe

你的后端https服务器证书签名的是那个域名或IP？

你的示例给的太过简单了，我只是猜测，最起码你应该在proxy_pass之前proxy_set_header Host $host;

不然转过去的请求host就是client2

另外，自己可以多测试验证，比如自己用curl直接连https后端服务器，或者不使用ngx.exe直接用nginx静态配置来转发；

多测试、对比、验证会更快的解决问题。

在 2016年6月15日星期三 UTC+8下午5:55:57，K写道：

谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。
不使用lua脚本，https请是可以正常转发的。但使用了lua之后，只能转发http请求，转发https请求就会报错。因为我觉得可能跟lua_ssl配置有关，但是不是太熟悉，还没找到具体问题。报错日志是“[error] 3645#0: *127 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 192.168.116.1, server: localhost, request: "GET /test/n.jpg HTTP/1.1", upstream: "https://127.0.0.1:8090/test/n.jpg", host: "192.168.116.145"”

在 2016年6月15日星期三 UTC+8下午5:13:09，Paul Von写道：
如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？

paulvon73

这个可以这么解决么

location /first_request {
    access_by_lua_file 'access_filter.lua';  #access_filter.lua通过redis获取ip，然后选取后端服务器$sni_name 
    root html;
}

location @pass {

    ... ...

    proxy_ssl_session_reuse off;

    proxy_ssl_server_name on;

    proxy_ssl_name $sni_name;

    proxy_ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
    proxy_ssl_verify on;
    proxy_ssl_trusted_certificate /etc/pki/tls/cert.pem;

    ... ...

    proxy_pass https://$lua_upstream_host;

On Wednesday, June 15, 2016 at 5:55:57 PM UTC+8, K wrote:

谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。
不使用lua脚本，https请是可以正常转发的。但使用了lua之后，只能转发http请求，转发https请求就会报错。因为我觉得可能跟lua_ssl配置有关，但是不是太熟悉，还没找到具体问题。报错日志是“[error] 3645#0: *127 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 192.168.116.1, server: localhost, request: "GET /test/n.jpg HTTP/1.1", upstream: "https://127.0.0.1:8090/test/n.jpg", host: "192.168.116.145"”

在 2016年6月15日星期三 UTC+8下午5:13:09，Paul Von写道：
如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？

doujiang24

Hello

动态转发的业务，最适合在 balancer_by_lua 里来完成

你这种情况，如果你代码没写错的话，那可能是 ngx.exec 在处理 https 的请求有点问题，回头我验证一下的

在 2016年6月15日下午7:26，Paul Von <paul...@gmail.com>写道：

这个可以这么解决么
location /first_request {
    access_by_lua_file 'access_filter.lua';  #access_filter.lua通过redis获取ip，然后选取后端服务器$sni_name 
    root html;
}
location @pass {
    ... ...
    proxy_ssl_session_reuse off;
    proxy_ssl_server_name on;
    proxy_ssl_name $sni_name;
    proxy_ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
    proxy_ssl_verify on;
    proxy_ssl_trusted_certificate /etc/pki/tls/cert.pem;  
    ... ...  
    proxy_pass https://$lua_upstream_host;
}
On Wednesday, June 15, 2016 at 5:55:57 PM UTC+8, K wrote:
谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。
不使用lua脚本，https请是可以正常转发的。但使用了lua之后，只能转发http请求，转发https请求就会报错。因为我觉得可能跟lua_ssl配置有关，但是不是太熟悉，还没找到具体问题。报错日志是“[error] 3645#0: *127 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 192.168.116.1, server: localhost, request: "GET /test/n.jpg HTTP/1.1", upstream: "https://127.0.0.1:8090/test/n.jpg", host: "192.168.116.145"”

在 2016年6月15日星期三 UTC+8下午5:13:09，Paul Von写道：
如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？
--

willibhamlll

感谢提供思路，试了一下，没成功。

在 2016年6月15日星期三 UTC+8下午7:26:51，Paul Von写道：

这个可以这么解决么
location /first_request {
    access_by_lua_file 'access_filter.lua';  #access_filter.lua通过redis获取ip，然后选取后端服务器$sni_name 
    root html;
}
location @pass {
    ... ...
    proxy_ssl_session_reuse off;
    proxy_ssl_server_name on;
    proxy_ssl_name $sni_name;
    proxy_ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
    proxy_ssl_verify on;
    proxy_ssl_trusted_certificate /etc/pki/tls/cert.pem;  
    ... ...  
    proxy_pass https://$lua_upstream_host;
}
On Wednesday, June 15, 2016 at 5:55:57 PM UTC+8, K wrote:
谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。
不使用lua脚本，https请是可以正常转发的。但使用了lua之后，只能转发http请求，转发https请求就会报错。因为我觉得可能跟lua_ssl配置有关，但是不是太熟悉，还没找到具体问题。报错日志是“[error] 3645#0: *127 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 192.168.116.1, server: localhost, request: "GET /test/n.jpg HTTP/1.1", upstream: "https://127.0.0.1:8090/test/n.jpg", host: "192.168.116.145"”

在 2016年6月15日星期三 UTC+8下午5:13:09，Paul Von写道：
如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？

willibhamlll

感谢关注！

配置如下也不行：

location @client1{

proxy_pass https://client1;

proxy_set_header Host $http_host;

proxy_redirect off;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Scheme $scheme;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

}

location @client2{

proxy_pass https://client2;

proxy_set_header Host $http_host;

proxy_redirect off;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Scheme $scheme;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

}

不使用lua，ngx.exec，而直接在nginx中配置https，转发https是没有问题的。

在 2016年6月15日星期三 UTC+8下午6:22:20，Guanglin Lv写道：

你的后端https服务器证书签名的是那个域名或IP？

你的示例给的太过简单了，我只是猜测，最起码你应该在proxy_pass之前proxy_set_header Host $host;

不然转过去的请求host就是client2

另外，自己可以多测试验证，比如自己用curl直接连https后端服务器，或者不使用ngx.exe直接用nginx静态配置来转发；

多测试、对比、验证会更快的解决问题。

在 2016年6月15日星期三 UTC+8下午5:55:57，K写道：
谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。
不使用lua脚本，https请是可以正常转发的。但使用了lua之后，只能转发http请求，转发https请求就会报错。因为我觉得可能跟lua_ssl配置有关，但是不是太熟悉，还没找到具体问题。报错日志是“[error] 3645#0: *127 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 192.168.116.1, server: localhost, request: "GET /test/n.jpg HTTP/1.1", upstream: "https://127.0.0.1:8090/test/n.jpg", host: "192.168.116.145"”

在 2016年6月15日星期三 UTC+8下午5:13:09，Paul Von写道：
如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？

willibhamlll

谢谢您！

在 2016年6月17日星期五 UTC+8上午10:03:04，doujiang写道：

Hello

动态转发的业务，最适合在 balancer_by_lua 里来完成

你这种情况，如果你代码没写错的话，那可能是 ngx.exec 在处理 https 的请求有点问题，回头我验证一下的
在 2016年6月15日下午7:26，Paul Von <paul...@gmail.com>写道：
这个可以这么解决么
location /first_request {
    access_by_lua_file 'access_filter.lua';  #access_filter.lua通过redis获取ip，然后选取后端服务器$sni_name 
    root html;
}
location @pass {
    ... ...
    proxy_ssl_session_reuse off;
    proxy_ssl_server_name on;
    proxy_ssl_name $sni_name;
    proxy_ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
    proxy_ssl_verify on;
    proxy_ssl_trusted_certificate /etc/pki/tls/cert.pem;  
    ... ...  
    proxy_pass https://$lua_upstream_host;
}
On Wednesday, June 15, 2016 at 5:55:57 PM UTC+8, K wrote:
谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。
不使用lua脚本，https请是可以正常转发的。但使用了lua之后，只能转发http请求，转发https请求就会报错。因为我觉得可能跟lua_ssl配置有关，但是不是太熟悉，还没找到具体问题。报错日志是“[error] 3645#0: *127 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 192.168.116.1, server: localhost, request: "GET /test/n.jpg HTTP/1.1", upstream: "https://127.0.0.1:8090/test/n.jpg", host: "192.168.116.145"”

在 2016年6月15日星期三 UTC+8下午5:13:09，Paul Von写道：
如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？
--

paulvon73

没有成功能不能贴下错误？

我用@pass，然后ngx.exec(xxx)是顺着你的前文来的，对不起，这个我没有实践过。。。。。。

其实，我们线上的生产环境是

location /first_request {

    ... ...
    access_by_lua_file 'access_filter.lua';  #access_filter.lua通过redis获取ip，然后选取后端服务器$sni_name 
    root html;

    ... ...
}

其中access_filter.lua中用的类似：

   ... ...

local res = ngx.location.capture("/https/api",
                { args = { version = lversion} });
   ... ...

内部用的ngx.location.capture接口，而不是ngx.exec（）

然后，再有如下的location

location /https/api {

    ... ...

    proxy_ssl_session_reuse off;

    proxy_ssl_server_name on;

    proxy_ssl_name $sni_name;

    proxy_ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
    proxy_ssl_verify on;
    proxy_ssl_trusted_certificate /etc/pki/tls/cert.pem;

    ... ...

    proxy_pass https://$lua_upstream_host;

On Friday, June 17, 2016 at 10:51:59 AM UTC+8, K wrote:

感谢提供思路，试了一下，没成功。

在 2016年6月15日星期三 UTC+8下午7:26:51，Paul Von写道：
这个可以这么解决么
location /first_request {
    access_by_lua_file 'access_filter.lua';  #access_filter.lua通过redis获取ip，然后选取后端服务器$sni_name 
    root html;
}
location @pass {
    ... ...
    proxy_ssl_session_reuse off;
    proxy_ssl_server_name on;
    proxy_ssl_name $sni_name;
    proxy_ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
    proxy_ssl_verify on;
    proxy_ssl_trusted_certificate /etc/pki/tls/cert.pem;  
    ... ...  
    proxy_pass https://$lua_upstream_host;
}
On Wednesday, June 15, 2016 at 5:55:57 PM UTC+8, K wrote:
谢谢您的回复！我用的是openresty+lua+redis，lua脚本获取redis中存储的IP。根据IP将请求转发至不同的后端服务器。
不使用lua脚本，https请是可以正常转发的。但使用了lua之后，只能转发http请求，转发https请求就会报错。因为我觉得可能跟lua_ssl配置有关，但是不是太熟悉，还没找到具体问题。报错日志是“[error] 3645#0: *127 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 192.168.116.1, server: localhost, request: "GET /test/n.jpg HTTP/1.1", upstream: "https://127.0.0.1:8090/test/n.jpg", host: "192.168.116.145"”

在 2016年6月15日星期三 UTC+8下午5:13:09，Paul Von写道：
如果nginx版本1.7.0+，可以看看http://nginx.org/en/docs/http/ngx_http_proxy_module.html中的proxy_ssl_xxx指令
还有最好开日志，根据日志错误等信息分析原因。

On Wednesday, June 15, 2016 at 4:27:19 PM UTC+8, K wrote:
nginx.conf配置：

lua脚本部分内容：

问题：
proxy_pass http://client1 没问题
proxy_pass https://client1 不行

请教如何转发https请求？