Nginx的stream模块不能做SSL卸载，因为它工作在传输层（四层），不解析TLS握手、不加载证书、不生成会话密钥，仅能透传加密流量；真正的SSL卸载必须由七层的http模块完成，通过ssl_certificate等指令终止TLS并转发明文HTTP请求。
在四层（TCP/UDP 层）负载均衡中，Nginx 的 stream 模块本身不支持 SSL 卸载（即 TLS 终止）。它只能透传已加密的 TLS 流量，无法解密、验证或终止 SSL/TLS 连接。真正的 SSL 卸载必须发生在七层（HTTP 层），由 http 模块完成。
为什么 stream 模块不能做 SSL 卸载
SSL/TLS 握手和证书验证属于应用层协议协商行为，而 stream 模块仅工作在传输层：它不解析 TLS ClientHello、不加载证书、不生成会话密钥、也不处理 SNI 分流（除非启用 ssl_preread 模块做简单提取）。因此：
-
stream { ... }块中不允许出现ssl_certificate、ssl_protocols等指令 - 配置中若写
listen 443 ssl在stream上下文中会报错：nginx: [emerg] the "ssl" parameter requires ngx_stream_ssl_module - 即使编译时启用了
--with-stream-ssl-preread-module，也只是支持读取 SNI 域名，仍不提供 TLS 解密能力
stream 模块能做什么（与 SSL 相关）
它可配合 ssl_preread 模块实现“TLS 透传 + SNI 路由”，适用于需要按域名分发加密流量但后端自行处理 TLS 的场景（如多租户数据库网关、gRPC over TLS、自建邮件代理等）：
- 启用模块：
stream_ssl_preread on; - 提取客户端请求中的 SNI 域名：
$ssl_preread_server_name - 基于 SNI 做 upstream 选择（需搭配
map指令） - 完整示例（TCP 443 透传，按 SNI 分发到不同后端）：
map $ssl_preread_server_name $backend {
default backend_default;
app1.example.com backend_app1;
api.example.com backend_api;
}
upstream backend_default { server 192.168.1.10:443; }
upstream backend_app1 { server 192.168.1.11:443; }
upstream backend_api { server 192.168.1.12:443; }
server {
listen 443;
proxy_pass $backend;
ssl_preread on;
}
}
真正需要 SSL 卸载时该怎么做
若目标是解密 TLS、校验证书、添加安全头、记录明文日志或转发 HTTP 请求，则必须使用 http 模块，并确保：
- Nginx 编译时包含
--with-http_ssl_module（默认主流发行版已启用） - 监听
443 ssl，配置ssl_certificate和ssl_certificate_key - 用
proxy_pass http://backend转发明文请求（后端无需处理 TLS） - 务必设置
X-Forwarded-Proto: https等头，避免后端误判协议
混合架构建议：stream + http 协同
实际生产中常见组合：
- 前端用
stream处理高并发 TLS 透传（如 MySQL、PostgreSQL、Redis over TLS） - 另起一个
httpserver 块专用于 Web 流量的 SSL 卸载 + 反向代理 - 两者共用同一台 Nginx 实例，监听不同端口或 IP，互不干扰
- 证书统一管理在
http块中；stream块只做路由，不碰证书文件
