HTTPS环境下Nginx反向代理Tomcat的正确配置方法

安安

2018 年 11 月 28 日

3759 次浏览

暂无评论

2198字数

网络

如图，很多应用场景下，我们都会选择nginx作为tomcat的前端，进行后端服务器的负载均衡以及一些流量处理工作，同时，HTTPS的配置也一般放在Nginx上完成，而Nginx和后端服务器采用HTTP通信。

![46066-a9fdgsvobmc.png](https://feng-bj.oss-cn-beijing.aliyuncs.com/usr/uploads/2018/11/1228892967.png)

在网上能搜到的版本里面，HTTPS+Nginx+Tomcat的配置大多是需要Tomcat配置HTTPS证书的，或者只提到了nginx侧的配置，采用这两种配置的话，第一种比较繁琐，需要在tomcat上面配置证书，如果后端Tomcat比较多的话，更新替换证书并不是什么有趣的工作，并且，nginx到tomcat之间采用https的话，效率也比较低下（在这里我们忽略内网的安全性问题）。另一种只配置nginx的方式在一些场景下，后端服务器需要获取到真实的协议类型时就会遇到问题，导致应用无法正确识别到访问请求是HTTP还是HTTPS。正确的配置方法应该如下：
##Nginx配置
在nginx上面启用HTTPS，并设置location里面增加如下配置，主要是`X-Forwarded-Proto`需要配置
```
proxy_set_header  Host $host;
proxy_set_header X-Forwarded-Host $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
```
完整的nginx配置如下

```
upstream blog.90.vc {
	ip_hash;
	server 192.268.1.1:8080;
	server 192.268.1.2:8080;
	#其他upstream......
}

server {
	listen	80;
	if ($host = blog.90.vc) {
	        return 301 https://$host$request_uri;
	}
}

server {
	listen	443;
	server_name	blog.90.vc;
	access_log /data/logs/blog.90.vc_access.log  main;
	error_log  /data/logs/blog.90.vc_error.log;
	ssl on;
	ssl_certificate /etc/nginx/ssl/blog.90.vc/server.crt;
	ssl_certificate_key /etc/nginx/ssl/blog.90.vc/server.key;
	ssl_session_timeout 5m;
	ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!NULL:!aNULL:!MD5:!ADH:!RC4;
	ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
	ssl_prefer_server_ciphers on;
	location / {
		proxy_set_header Upgrade $http_upgrade;
		proxy_set_header Connection $connection_upgrade;
		proxy_set_header Host $host;
		proxy_set_header X-Forwarded-Host $remote_addr;
		proxy_set_header X-Real-IP $remote_addr;
		proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
		proxy_set_header X-Forwarded-Proto $scheme;
		proxy_pass http://$server_name;
	}
}
```
##Tomcat配置

在Tomcat配置文件server.xml中`<host>...</host>`节点中新增如下配置，其余配置不用修改
```
<Valve className="org.apache.catalina.valves.RemoteIpValve" remoteIpHeader="X-Forwarded-For" protocolHeader="X-Forwarded-Proto" />
```
之后需要重启Tomcat生效

##检测方法
可以使用JSP探针，放到tomcat的webapps目录的ROOT目录下即可。
探针可以参考 [https://blog.90.vc/archives/41.html][1]

[1]: https://blog.90.vc/archives/41.html

最后修改：2018 年 11 月 28 日