开源 Nginx 不支持上游双向 SSL 认证（mTLS），proxy_ssl_certificate 等指令在 1.20–1.24 版本中实际不发送客户端证书；仅 Nginx Plus 支持完整 mTLS 上游认证。

Nginx 使用 proxy_pass 转发请求到后端时，无法通过开源版本原生实现上游（upstream）的双向 SSL 认证（mTLS）。也就是说：Nginx 可以要求客户端（如浏览器或 API 调用方）提供证书并完成双向认证，但当它作为客户端去连接后端 HTTPS 服务时，默认不会向上游出示自己的客户端证书——这是关键限制。

真正安全的“转发时双向认证”，必须满足：
✅ Nginx 向后端发起 TLS 连接时携带有效客户端证书
✅ 后端强制校验该证书（签名、有效期、CA 信任链）
✅ Nginx 同时校验后端返回的服务器证书是否可信

而这个能力，仅在 Nginx Plus（商业版）中完整支持；开源 Nginx 即使配置了 proxy_ssl_certificate 等指令，在多数稳定版本（如 1.20–1.24）中实际不发送客户端证书，导致后端收不到、直接拒绝连接。

---

一、开源 Nginx 实际能做的安全转发方案（推荐）

如果你坚持用开源 Nginx 做反向代理，可组合以下配置，达到接近 mTLS 的安全强度：

• 严格校验后端服务器证书

  proxy_ssl_verify on;
  proxy_ssl_trusted_certificate /etc/nginx/ssl/upstream-ca.pem;  # 仅含根/中间 CA，PEM 格式，无空行
  proxy_ssl_verify_depth 3;

• 显式指定 SNI 和目标主机名（避免证书 SAN 不匹配）

  

  FastAPI Flask Proxy

  FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

  下载

  proxy_ssl_name "api.internal";      # 必须与后端证书的 SAN 或 CN 一致
  proxy_ssl_server_name on;

• 限定强 TLS 协议与加密套件

  proxy_ssl_protocols TLSv1.2 TLSv1.3;
  proxy_ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;

• 内网降级 + 证书透传（更实用的替代路径）
  若后端在可信内网，可关闭其 TLS，改用 HTTP + IP 白名单，并由 Nginx 将原始客户端证书信息透传：

  proxy_set_header X-Client-Verify $ssl_client_verify;
  proxy_set_header X-Client-DN $ssl_client_s_dn;
  proxy_set_header X-Client-Cert $ssl_client_cert;  # Base64 编码的 PEM 内容

  后端自行解析 $ssl_client_cert 并做证书校验，把身份认证逻辑下沉，绕过 Nginx 上游限制。

---

二、真正支持上游 mTLS 的生产级替代方案

若后端强依赖双向认证（如金融、OAuth 2.0 MTLS 场景），建议分层架构：

• 用 Envoy 或 HAProxy 替代 Nginx 承担上游 mTLS

  • Nginx 仍做最外层 HTTPS 终止（校验客户端证书）
  • Envoy 接收 Nginx 的 HTTP 流量，再以 mTLS 方式转发给后端（支持证书轮换、SNI 路由、健康检查）
  • 配置简洁、生态成熟、云原生友好

• OpenResty + Lua SSL 扩展（高阶定制）
  利用 lua_ssl_trusted_certificate 和 OpenSSL API，在 rewrite_by_lua_block 中构造带证书的 upstream 请求。但需较强开发能力，不适合中小团队。

---

三、常见错误与避坑提醒

• ❌ 把 ssl_client_certificate（用于校验客户端）误配成 proxy_ssl_trusted_certificate（用于校验后端）
• ❌ proxy_ssl_certificate 和 proxy_ssl_certificate_key 在开源版中形同虚设，不要依赖它实现上游双向认证
• ❌ CA 文件混入私钥、BOM 字符或 DOS 换行（\r\n），导致 unable to load certificate 错误
• ❌ 后端未开启客户端证书强制校验（如 Nginx 后端需配 ssl_verify_client on，Spring Boot 需配 server.ssl.client-auth=need）

不复杂但容易忽略。