Pound 是轻量级 SSL 卸载的合理选择，因其不依赖 OpenSSL、二进制小、内存占用低（约 2–3 MB），专注 TLS 终止与请求转发，配置简洁且适合资源受限场景。
为什么 Pound 是轻量级 SSL 卸载的合理选择
Pound 本身不依赖 OpenSSL 大型生态，二进制体积小、内存占用低（常驻约 2–3 MB），适合边缘节点或资源受限的反向代理场景。它不处理动态内容，也不做缓存，只专注 TLS 终止 + HTTP/HTTPS 请求转发，这正是“轻量级卸载”的核心诉求。如果你只是想让后端 Nginx 或 Apache 不再操心证书更新和 TLS 配置，Pound 比 Nginx 的 ssl_certificate 块更专注、比 HAProxy 的复杂 ACL 更干净。
配置 pound.cfg 实现证书卸载与后端转发
关键不是写全配置，而是抓住三个必须项：监听 HTTPS 端口、加载证书链、指定后端服务地址。常见错误是把私钥和证书混成一个文件却没设对 Cert 指令格式，或忽略中间证书导致浏览器报 ERR_SSL_UNRECOGNIZED_NAME_ALERT。
-
Cert必须指向一个 PEM 文件，且私钥在前、证书在后、中间 CA 证书紧随其后（顺序不能错） -
ListenHTTP和ListenHTTPS要分开定义；若只需卸载 SSL，可关闭ListenHTTP或将其重定向到 HTTPS -
Service块里的BackEnd地址必须是 HTTP（明文），Pound 会把解密后的请求以 HTTP 协议发过去，后端无需开启 TLS
ListenHTTPS
Address 0.0.0.0
Port 443
Cert "/etc/pound/combined.pem"
End
<p>Service
BackEnd
Address 127.0.0.1
Port 8080
End
End</p>启动前必须验证的三件事
Pound 不会在启动时报出证书格式细节错误，而是静默失败或拒绝绑定 443 端口。务必逐项确认：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 运行
pound -t -f /etc/pound/pound.cfg检查语法，返回空表示通过；若有错，典型提示如ERROR: unknown directive 'Cert'说明版本太老（需 ≥ 2.7） - 用
openssl x509 -in /etc/pound/combined.pem -text -noout确认 PEM 文件里至少含一个BEGIN CERTIFICATE块，且私钥块未被加密（Pound 不支持带密码的私钥） - 检查
netstat -tlnp | grep :443确保无其他进程（如 nginx、apache）占着端口；Pound 默认不以 root 启动，若非 root 用户运行，需先用setcap 'cap_net_bind_service=+ep' /usr/sbin/pound
后端服务如何感知原始协议与主机头
Pound 默认不改写 Host 或加 X-Forwarded-For，这点和 Nginx 默认行为不同。如果你的后端靠 $_SERVER['HTTPS'] 或 request.is_secure 判断是否走 HTTPS，它会误判为 HTTP。
- 在
Service块内显式添加AddHeader "X-Forwarded-Proto: https"和AddHeader "X-Forwarded-Port: 443" - 若后端依赖
Host头（比如多租户 SaaS），确保没开DisableAddress，否则 Pound 可能改写 Host 为后端 IP - 不要依赖
X-Real-IP：Pound 只在启用Enable "x-forwarded-for"全局选项时才设置该头，且仅限 IPv4 直连；NAT 或 Docker 环境下仍需靠X-Forwarded-For
证书链顺序、私钥无密码、端口独占——这三个点漏掉任何一个，Pound 就不会真正开始卸载 SSL。它不会报错，只会安静地不工作。
