stream_preread模块仅能提取TCP连接初期未加密的固定位置明文特征实现四层分流，如TLS SNI、MySQL握手包、PostgreSQL启动消息等，不支持解析HTTP或解密TLS；推荐优先使用ssl_preread on配合$ssl_preread_server_name变量进行SNI路由。
Stream_preread 模块本身不支持提取明文特征做四层分流，因为它工作在 TCP/UDP 层，无法解析应用层协议内容（如 HTTP 头、TLS SNI、MySQL 认证包等），更不能解密 TLS 流量。所谓“提取明文特征”，实际依赖的是客户端在建立连接初期**未加密、未分片、固定位置**发送的原始字节，例如：
一、真正可用的“明文特征”有哪些
这些是 stream_preread 能安全读取的原始数据片段：
- TLS ClientHello 中的 SNI 域名：位于 ClientHello 扩展字段，明文传输，位置可预测（通常在偏移 42–50 字节后开始）
- MySQL 初始握手包中的协议版本、服务器版本、认证插件名：前 4 字节为协议版本，后续含 null 结尾字符串
- PostgreSQL 启动消息（StartupMessage）中的 client_encoding、database、user 等键值对：ASCII 编码，以 \0 分隔
- Redis PING 或 AUTH 命令的原始请求头（如 *1\r\n$4\r\nPING\r\n）：简单协议，首几个字节即指令标识
- 自定义私有协议的 magic number 或版本号：例如前 2 字节固定为 0x1234
二、stream_preread 配置的关键细节
必须精确控制读取长度和匹配逻辑，否则易误判或截断：
- preread_buffer_size：设为略大于目标特征最大可能位置（如 SNI 最大 255 字节 + 偏移，建议设为 1024；MySQL 握手包一般 ≤ 256 字节）
- preread_timeout：设为 1s 内（如 500ms），避免阻塞连接；超时后按默认 upstream 转发
- 不依赖正则全文匹配：用 map + preread_variables 提取固定偏移子串，再做字符串比较（Nginx 1.19.5+ 支持 $preread_buffer 变量）
三、典型 SNI 分流实操（TLS 四层路由）
这是最常用且稳定的场景：
stream {
map $preread_buffer $upstream_backend {
~*^\x16\x03[\x01-\x03].{62,300}(\x00\x00)(.{2})(.{2,255})\x00.*$ $sni_host;
default default_backend;
}
<pre class="brush:php;toolbar:false;"># 提取 SNI 主机名（需配合 perl 或 lua 模块，或升级到支持 preread_buffer 的 Nginx）
# 更稳妥做法：用 stream_ssl_preread on（Nginx 1.11.5+）自动解析 SNI
upstream web_a { server 192.168.1.10:443; }
upstream web_b { server 192.168.1.11:443; }
upstream default_backend { server 192.168.1.100:443; }
server {
listen 443;
proxy_pass $upstream_backend;
ssl_preread on; # ✅ 关键：启用内建 SNI 解析（无需手动 parse buffer）
}}
注意：ssl_preread on 是官方推荐方式，它由 Nginx 内核直接解析 ClientHello，提取 $ssl_preread_server_name 变量，稳定可靠，无需手动计算偏移。
四、非 TLS 协议的注意事项
MySQL/PostgreSQL/Redis 等需自行解析 buffer，风险较高：
- MySQL 客户端可能跳过初始握手（如使用 mysql_clear_password 插件），导致无明文用户信息
- PostgreSQL 启动包长度可变，且部分客户端会压缩或加扰，$preread_buffer 可能不完整
- Redis 请求无固定长度头，PING/AUTH/SELECT 混合时仅靠前几个字节易冲突（如 “AUTH” 和 “ACL” 都以 A 开头）
- 所有解析必须搭配 proxy_timeout 和 proxy_responses 防止因解析失败卡住连接
真正可靠的四层精准分流，优先用 ssl_preread + SNI；自定义协议务必在客户端预留固定 magic header；对复杂应用层特征（如 HTTP path、JWT claim），应退回到七层（http{} 块）处理。
