Nginx可通过stream模块+proxy_ssl实现TLS加密转发后端集群：启用--with-stream_ssl_module，配置proxy_ssl on及trusted_certificate验证上游证书，监听端口使用ssl参数，upstream指向TLS服务地址。
要通过 Nginx 的 upstream 模块实现对后端集群的 TLS 加密转发，核心在于启用 proxy_ssl 机制，并确保上游服务支持 TLS 握手。这不是常规的 HTTP 反向代理，而是面向 TCP 层的加密透传或 TLS 终止+再加密场景，需区分两种典型用法：一种是 Nginx 做 TLS 终止（解密后转发明文），另一种是 Nginx 做 TLS 加密隧道（不解密，仅加一层 TLS 转发到上游 TLS 服务）。本指南聚焦后者——即保持端到端加密、Nginx 作为 TLS 客户端连接后端集群。
确认使用 stream 模块而非 http 模块
Nginx 的 upstream 默认属于 http 上下文，但 TLS 加密转发后端集群（如数据库、gRPC、自定义 TCP 服务）必须使用 stream 模块。该模块专为四层代理设计，支持监听 SSL 端口并配置 proxy_ssl 参数。
- 确保编译时已启用 stream 模块（检查 nginx -V 输出中含 --with-stream --with-stream_ssl_module）
- 配置必须写在 nginx.conf 的顶层，不能嵌套在 http { } 内
- stream 块中不支持 ssl_certificate 指令，只支持 proxy_ssl_* 系列指令控制出向 TLS 行为
配置 upstream + server 实现 TLS 加密转发
以下为标准 stream 配置示例，Nginx 监听本地 12345 端口（TLS），将加密流量转发至后端集群（如 192.168.97.50:54321），且要求该后端服务本身也监听 TLS 连接：
stream {
upstream backend_tls {
server 192.168.97.50:54321;
# 可添加多个 server 实现负载均衡
}
<pre class="brush:php;toolbar:false;">server {
listen 12345 ssl;
proxy_pass backend_tls;
# 启用出向 TLS（即 Nginx 主动以 TLS 客户端身份连接 upstream）
proxy_ssl on;
proxy_ssl_protocols TLSv1.2 TLSv1.3;
proxy_ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
# 验证上游证书（推荐开启，防止中间人）
proxy_ssl_trusted_certificate /etc/nginx/certs/upstream-ca.pem;
proxy_ssl_verify on;
proxy_ssl_verify_depth 2;
proxy_timeout 60s;
proxy_connect_timeout 10s;
}}
- proxy_ssl on 是关键开关，表示 Nginx 将以 TLS 客户端身份连接 upstream
- proxy_ssl_trusted_certificate 必须指向签发后端服务器证书的 CA 根证书或中间证书链（PEM 格式）
- 若后端使用自签名证书，可将该证书直接放入 trusted_certificate 并设 verify on；若关闭验证，需设 proxy_ssl_verify off（不推荐生产环境）
证书与信任链准备要点
上游证书验证依赖本地可信 CA 存储，配置前需完成以下准备：
- 获取后端服务所用证书的完整信任链（含根 CA 和所有中间 CA），合并为单个 PEM 文件（顺序：服务器证书 → 中间证书 → 根证书）
- 确保文件权限严格（如 600），且 Nginx worker 进程有读取权限
- 若后端使用通配符证书（如 *.api.example.com），upstream server 地址应使用匹配的域名（如 api.example.com），而非 IP；否则证书 CN/SAN 校验失败
- 可通过 openssl s_client -connect 192.168.97.50:54321 -CAfile /path/to/ca.pem 测试连通性与证书有效性
常见问题与调试建议
配置后若连接失败，优先检查以下几项：
- 错误日志中出现 "SSL_do_handshake() failed"：多为证书不匹配、协议/密码套件不兼容或 CA 文件路径错误
- 出现 "peer closed connection in SSL handshake"：上游服务未启用 TLS，或监听的是明文端口
- 启用 debug 日志：在 nginx.conf 的 error_log 行加上 debug（需编译时含 --with-debug），关注 stream 模块相关输出
- 注意：stream 模块不支持 SNI 扩展（除非使用商业版 NGINX Plus），因此单个 proxy_pass 无法根据 SNI 动态路由到不同 upstream；如需 SNI 路由，需配合 map 指令或升级方案
