Nginx本身不支持真正的网络层透明代理，所谓“透明”多为误称，实际是正向或反向代理；真透明需iptables+TPROXY+自编译nginx组合实现，而95%场景用反向代理+X-Forwarded-For即可满足业务无感需求。
nginx 本身不支持真正的透明代理（Transparent Proxy），即无法像 iptables + TPROXY 那样在不修改客户端请求头、保留原始目标 IP 的前提下完成四层透明转发。如果你看到“Nginx 透明代理”的提法，大概率是混淆了概念——实际是「正向代理」或「反向代理」配置被误称为“透明”。
下面直说怎么做、为什么这么设、哪里容易翻车：
为什么 nginx 不能做网络层透明代理
透明代理要求：客户端发包时目的 IP 是真实后端地址，而网关/代理设备在内核层面截获并重定向流量，且不改写 Destination IP。这必须依赖 Linux 内核的 TPROXY 目标 + socket 选项 IP_TRANSPARENT，而 nginx 的 stream 模块仅支持普通 proxy_pass（即显式转发，会改写五元组），不支持绑定非本机 IP 或绕过路由栈。
常见误解来源：proxy_bind $remote_addr transparent 看似“透明”，但它只在启用 IP_TRANSPARENT socket 且配合 iptables 规则时才可能生效——而 nginx 官方二进制默认不启用该能力，编译时需加 --with-stream_realip_module 和内核支持，且仍受限于用户态转发本质，无法替代 TPROXY。
stream 模块模拟“类透明”转发的实操条件
若你只是想让客户端无感知地走 nginx 中转（比如统一出口、审计、TLS 卸载前透传），可用 stream 做四层转发，但注意它仍是“显式代理”：
- 客户端必须把流量发到
nginx监听的 IP:Port，不是原始目标地址 -
nginx会新建连接到后端，源 IP 是nginx本机（除非用proxy_bind绑定特定接口） - 要传递原始客户端 IP，需配合
proxy_protocol（要求下游服务支持）或realip模块（仅限 HTTP）
示例（TCP 透传）：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
stream {
upstream backend {
server 192.168.10.5:443;
}
server {
listen 443;
proxy_pass backend;
proxy_protocol on; # 启用 PROXY 协议头
proxy_timeout 30s;
}
}
⚠️ 注意：proxy_protocol on 只是添加文本头，下游必须解析（如另一台 nginx 配 set_real_ip_from + real_ip_header proxy_protocol），否则拿到的是 nginx 的 IP。
真透明代理必须组合 iptables + TPROXY + nginx stream
若你确有内核级透明需求（例如旁路镜像、防火墙策略穿透、ISP 级流量干预），必须走标准路径：
- 开启内核参数：
net.ipv4.ip_forward = 1、net.ipv4.conf.all.forwarding = 1 - 用
iptables标记并重定向流量到nginx的stream监听端口（非本机 IP）：iptables -t mangle -A PREROUTING -d 192.168.10.100 -p tcp --dport 443 -j TPROXY --on-port 12345 --on-ip 0.0.0.0 -
nginx必须用自编译版本，启用--with-stream_ssl_preread_module和--with-stream_realip_module -
stream配置中启用proxy_bind $remote_addr:0 transparent，且监听套接字需setsockopt(IP_TRANSPARENT)
这个链路极脆弱：任意一环缺失（如未加载 xt_TPROXY_ipv4 模块、SELinux 阻断、nginx 权限不足）都会静默失败，错误日志里往往只显示 connection refused 或无响应。
更现实的选择：别硬刚透明，改用反向代理 + X-Forwarded-For
95% 的所谓“透明代理”需求，其实只需要让客户端像访问真实服务一样访问 nginx，由 nginx 转发并补全原始信息。这时用 http 模块就够了：
location / {
proxy_pass https://backend.example.com;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
关键点：
- 客户端 DNS 解析到
nginx地址，行为无感 - 后端服务读取
X-Forwarded-For获取真实 IP（务必校验可信源，防伪造） - 比
stream+TPROXY方案稳定、可调试、无需 root 权限或内核模块
真正难的从来不是配置几行 nginx，而是厘清你要的到底是「网络路径透明」还是「业务使用透明」——前者要动内核，后者一行 proxy_pass 就够。
