1. 为什么要在宝塔面板下折腾Nginx正向代理如果你用过宝塔面板大概率对它的“反向代理”功能很熟悉点点鼠标就能把请求转发到内网的应用比如把yourdomain.com转发到本地的127.0.0.1:3000。但“正向代理”这个概念对很多朋友来说就有点陌生了。简单来说你可以把它想象成一个“网络中转站”或者“跳板机”。你的电脑或者服务器客户端不直接去访问目标网站而是先把请求发给这个“中转站”由它去帮你取回内容再转交给你。那这有什么用呢我举几个我实际用到的场景。比如公司内网有一台开发服务器出于安全策略它不能直接访问外部的GitHub或者某些API服务。这时候如果我们在另一台有外网权限的服务器上搭建一个Nginx正向代理内网服务器通过配置这个代理就能“借道”访问外部资源了这就是一种典型的内网穿透或访问控制的思路。再比如你想统一管理团队对外部某些服务的访问日志或者需要对所有出站流量进行一些简单的过滤和审计正向代理就是一个轻量级的解决方案。相比于 Squid 这类专业的代理软件用 Nginx 来实现对于已经熟悉宝塔和 Nginx 生态的运维或开发者来说学习成本更低集成也更方便。不过这里有个关键点Nginx 默认是不支持正向代理的尤其是 HTTPS 的 CONNECT 隧道代理。我们平时用的反向代理模块proxy_pass处理不了 CONNECT 请求。所以我们需要给 Nginx 打一个“补丁”也就是ngx_http_proxy_connect_module这个第三方模块。接下来的内容我就会手把手带你在宝塔面板这个可视化环境里完成从编译安装带补丁的 Nginx到配置、测试正向代理的全过程。过程中我会分享我踩过的坑和验证过的稳定配置让你一次成功。2. 前期准备理解核心模块与宝塔的Nginx管理机制在开始动手之前我们得先搞清楚两件事我们要用的模块是干什么的以及宝塔面板是如何管理 Nginx 的。这能帮你避开很多配置上的“天坑”。首先关于ngx_http_proxy_connect_module模块。这个模块由社区大神维护它的核心作用就是让 Nginx 能够处理 HTTP 的 CONNECT 方法。CONNECT 方法主要用于建立 HTTPS 代理隧道。当你的浏览器或客户端配置了 HTTPS 代理时它会先向代理服务器发送一个CONNECT www.example.com:443 HTTP/1.1的请求。代理服务器收到后会与目标服务器建立 TCP 连接成功后返回一个HTTP/1.1 200 Connection Established的响应。此后客户端与目标服务器之间的所有加密数据都会通过这个 TCP 连接直接传输代理服务器只是“透明”地转发数据包而无法解密内容这正是 HTTPS 安全性的体现。这个模块就是让 Nginx 具备了建立这种隧道的能力。其次关于宝塔面板的 Nginx 管理。这是最关键的一环。宝塔为了其易用性和稳定性通常采用编译好的 Nginx 软件包进行安装和管理。它的安装、升级脚本位于/www/server/panel/install/目录下比如nginx.sh。当我们通过宝塔面板的“软件商店”安装或升级 Nginx 时实际上就是运行了这个脚本。这个脚本里定义了 Nginx 的编译参数./configure ...。如果我们想给 Nginx 添加第三方模块就必须修改这个脚本中的编译参数然后通过宝塔的脚本重新编译安装。绝对不要直接去/www/server/nginx/sbin/目录下自己手动编译那样做会被宝塔的面板管理功能覆盖或造成版本混乱。所以我们的整体思路是下载模块源码 - 修改宝塔的 Nginx 安装脚本在编译参数中加入该模块 - 通过宝塔脚本重新编译安装 Nginx - 在站点配置中编写正向代理的 server 块。听起来步骤不少但跟着我做其实每一步都很清晰。3. 实战第一步为Nginx编译添加正向代理模块好了理论部分清楚了我们开始动手。我假设你已经有一台安装了最新版宝塔面板例如 8.x的 CentOS 7/8 或 Ubuntu 20.04/22.04 服务器。请务必通过 SSH 连接到你的服务器终端进行操作。第一步下载ngx_http_proxy_connect_module模块源码。我们选择一个固定的目录来存放模块源码比如/www/server/nginx_module。执行以下命令# 创建模块存放目录 mkdir -p /www/server/nginx_module cd /www/server/nginx_module # 使用 git 克隆模块仓库如果没有git先安装yum install git -y 或 apt install git -y git clone https://github.com/chobits/ngx_http_proxy_connect_module克隆完成后你会看到当前目录下多了一个ngx_http_proxy_connect_module的文件夹。这里有个小提示不同版本的 Nginx 可能需要对应不同版本的模块分支。主分支通常兼容性较好。如果后续编译出错可以去项目仓库的 Issues 里看看有没有类似版本匹配的问题。第二步修改宝塔面板的 Nginx 安装脚本。这是最关键也最容易出错的一步。我们需要编辑宝塔的安装脚本/www/server/panel/install/nginx.sh。# 使用 vim 或你喜欢的编辑器打开脚本 vim /www/server/panel/install/nginx.sh在这个脚本里我们需要找到 Nginx 的./configure编译配置行。你可以用搜索功能在 vim 中按/键然后输入configure来查找。你可能会看到一行很长、以./configure开头的命令后面跟着一大堆--with-xxx、--add-module之类的参数。我们需要在这个配置行的末尾在最后一个参数之后闭合引号之前添加我们的模块路径。注意一定要在末尾添加并且确保前面有空格隔开。添加的内容是--add-module/www/server/nginx_module/ngx_http_proxy_connect_module举个例子修改前可能看起来像这样./configure --userwww --groupwww --prefix/www/server/nginx ... --with-http_stub_status_module --with-http_sub_module修改后应该变成./configure --userwww --groupwww --prefix/www/server/nginx ... --with-http_stub_status_module --with-http_sub_module --add-module/www/server/nginx_module/ngx_http_proxy_connect_module非常重要保存并退出编辑器在 vim 中是按Esc然后输入:wq回车。第三步通过宝塔脚本重新编译安装 Nginx。现在我们不能直接在面板里点击“升级”因为那样可能会下载预编译包。我们需要在命令行执行宝塔的安装脚本并指定版本。首先检查你当前宝塔安装的 Nginx 版本/www/server/nginx/sbin/nginx -V记下输出的版本号比如1.22.1或1.24.0。然后使用以下命令进行编译安装将1.22.1替换为你实际的版本号bash /www/server/panel/install/nginx.sh install 1.22.1这个命令会触发宝塔的安装流程它会根据我们修改过的脚本重新从源码编译 Nginx并包含我们添加的模块。整个过程可能需要几分钟取决于服务器性能。请耐心等待直到出现安装成功的提示。第四步验证模块是否安装成功。安装完成后再次运行版本检查命令/www/server/nginx/sbin/nginx -V 21 | grep connect如果输出中包含了--add-module/www/server/nginx_module/ngx_http_proxy_connect_module这一行那么恭喜你模块已经成功编译进 Nginx 了如果没有看到请仔细检查第二步中修改的脚本路径是否正确以及第三步是否执行了正确的安装命令。4. 配置详解编写你的第一个Nginx正向代理服务模块安装成功相当于给 Nginx 装上了“新武器”接下来就是如何使用了。我们不会在默认的网站配置文件里修改而是为正向代理服务单独创建一个新的站点或配置。这里我推荐在宝塔面板中创建一个“纯静态”站点来管理这样可以利用宝塔的 SSL、域名绑定等功能当然你也可以直接手动创建配置文件。方案一通过宝塔面板创建站点推荐便于管理登录宝塔面板进入“网站”菜单点击“添加站点”。域名可以填写你打算用于代理的域名例如proxy.yourdomain.com或者直接填写服务器的公网 IP。如果你只是内网使用也可以填内网 IP。根目录随便设置一个比如/www/wwwroot/proxy因为我们是代理服务不存放网页文件。创建完成后点击这个站点的“设置”进入“配置文件”选项卡。方案二手动创建配置文件你也可以直接创建一个独立的配置文件比如/www/server/panel/vhost/nginx/proxy.conf然后在 Nginx 的主配置文件 (nginx.conf) 的http块内通过include指令引入。但对于宝塔用户方案一更直观。现在开始编写核心的 Nginx 代理配置。无论采用方案一还是二最终都是要写入以下配置内容。我将逐行解释server { # 监听端口。你可以使用任意未被占用的端口例如 1234, 3128Squid默认端口等。 # 如果希望通过域名访问确保宝塔面板安全组和服务器防火墙放行了此端口。 listen 1234; # 设置DNS解析器。当代理需要将域名解析为IP时使用。 # 这里使用公共DNS 114.114.114.114你也可以用 8.8.8.8 或你运营商提供的DNS。 resolver 114.114.114.114; # 启用 proxy_connect 模块这是处理 CONNECT 隧道的关键指令。 proxy_connect; # 允许代理连接的端口。默认只允许 443 (HTTPS) 和 563。 # 你可以根据需要添加其他端口比如 80 (HTTP)但注意HTTP代理通常不需要CONNECT。 proxy_connect_allow 443 563; # 建立连接的超时时间 proxy_connect_connect_timeout 10s; # 连接建立后数据传输的超时时间 proxy_connect_data_timeout 10s; # 对于非 CONNECT 请求例如普通的 HTTP 代理请求的处理 # 这个 location / 块会将所有非 CONNECT 的 HTTP 请求转发到目标主机。 location / { # 使用 $host 变量将请求原样转发到客户端请求的原始主机。 proxy_pass http://$host; # 设置转发时的 Host 头确保目标服务器能识别虚拟主机。 proxy_set_header Host $host; # 通常还需要添加以下头部以传递客户端真实IP如果需要的话 proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; } }配置要点与常见问题resolver指令必须配置这是正向代理与反向代理一个很大的不同。因为正向代理的请求目标是动态的由客户端决定Nginx 需要能够解析客户端请求中的域名。不配置resolver会导致代理无法工作。proxy_connect_allow端口控制出于安全考虑模块默认只允许代理到 443 和 563 端口。如果你需要代理到其他端口比如 MySQL 的 3306Redis 的 6379必须在这里明确添加。例如proxy_connect_allow 443 563 3306 6379;。我建议按需开放不要图省事开放所有端口。HTTP 与 HTTPS 代理这个配置同时支持 HTTP 和 HTTPS 代理。对于 HTTP 请求会走location /块对于 HTTPS 请求浏览器会先发送 CONNECT 请求建立隧道然后走隧道加密通信。权限与防火墙确保 Nginx 进程用户通常是www有网络访问权限。更重要的是检查服务器防火墙如firewalld、ufw和云服务商的安全组规则是否允许外部访问你设置的listen端口例如 1234。配置保存后重载 Nginx 配置使其生效。在宝塔面板的“网站”设置里找到对应站点点击“重载配置”即可。或者在终端执行/www/server/nginx/sbin/nginx -s reload。5. 客户端配置与测试让代理真正跑起来服务端配置好了我们来看看客户端怎么用。这里分别介绍浏览器和命令行如curl的配置方法。浏览器配置以 Chrome/Firefox 为例大多数浏览器都支持手动配置代理。以 Chrome 为例系统设置或扩展程序方式类似打开 Chrome 设置 - 高级 - 系统 - 打开计算机的代理设置。在打开的系统中网络设置中找到手动设置代理。填入你的代理服务器IP 地址和端口号例如1234。保存设置。此时你的浏览器流量就会通过你搭建的 Nginx 正向代理出去了。你可以访问一个显示 IP 的网站如ip.sb或cip.cc来验证显示的 IP 应该是你代理服务器的 IP而不是你本地网络的 IP。命令行工具配置与测试对于curl、wget或一些编程语言的 HTTP 库可以通过环境变量或参数设置代理。使用curl测试 HTTP 代理# 设置 http_proxy 环境变量后使用 curl export http_proxyhttp://你的服务器IP:1234 curl http://httpbin.org/ip这个命令会通过代理访问httpbin.org/ip返回的结果应该是代理服务器的 IP。使用curl测试 HTTPS 代理# 对于 HTTPScurl 默认会使用 CONNECT 方法只要代理支持即可 export https_proxyhttp://你的服务器IP:1234 # 注意协议是 http:// curl https://httpbin.org/ip同样返回的 IP 应该是代理服务器的。直接使用curl的-x参数curl -x http://你的服务器IP:1234 https://www.google.com-x参数等同于设置代理。测试中可能遇到的问题连接被拒绝检查服务器防火墙和安全组端口是否开放以及 Nginx 配置是否监听正确。502 Bad Gateway检查 Nginx 错误日志/www/wwwlogs/error.log。常见原因是resolver配置错误或 DNS 解析失败或者proxy_connect指令未生效模块未成功加载。HTTPS 网站证书错误在浏览器中由于代理服务器只是建立隧道证书校验发生在客户端浏览器和目标服务器之间所以证书错误通常与代理无关可能是目标站点证书问题。如果你在代理服务器上做中间人解密这需要额外配置和安装CA证书那才会出现证书问题本文不涉及这种复杂场景。6. 高级应用与安全加固不止于基础代理基础代理能用了但我们肯定不满足于此。下面分享几个我实践中觉得非常有用的高级配置和安全加固点。6.1 实现基于IP的访问控制开放的公网代理非常危险可能被滥用。我们必须限制可连接的客户端 IP。Nginx 的allow和deny指令可以轻松实现。server { listen 1234; resolver 114.114.114.114; proxy_connect; proxy_connect_allow 443 563; # 允许特定IP段访问例如公司内网 192.168.1.0/24 allow 192.168.1.0/24; # 允许某个特定IP allow 10.0.0.100; # 拒绝所有其他IP deny all; location / { proxy_pass http://$host; proxy_set_header Host $host; } }这样只有来自192.168.1.0/24网段和10.0.0.100的请求才能使用这个代理服务。6.2 添加HTTP基础认证更进一步我们可以要求客户端输入用户名和密码。这需要两步创建密码文件。在 Nginx 配置中启用认证。首先使用htpasswd命令创建密码文件如果系统没有可安装httpd-tools或apache2-utils# 创建文件并添加第一个用户 proxyuser htpasswd -c /www/server/nginx/conf/proxy_passwd proxyuser # 按提示输入密码 # 如需添加更多用户去掉 -c 参数 # htpasswd /www/server/nginx/conf/proxy_passwd anotheruser然后在 Nginx 配置中添加认证server { listen 1234; resolver 114.114.114.114; proxy_connect; proxy_connect_allow 443 563; # 启用 HTTP 基本认证 auth_basic Proxy Authentication Required; auth_basic_user_file /www/server/nginx/conf/proxy_passwd; location / { proxy_pass http://$host; proxy_set_header Host $host; } }客户端配置代理时就需要填入用户名和密码了。6.3 记录代理访问日志监控谁用了代理、访问了什么网站对于运维和安全审计很重要。我们可以自定义一个日志格式。 在http块中可以在宝塔面板的 Nginx 主配置中修改添加日志格式http { ... log_format proxy_log $remote_addr - $remote_user [$time_local] $request $status $body_bytes_sent $http_referer $http_user_agent $proxy_host; ... }然后在我们的server块中指定使用这个格式server { listen 1234; ... access_log /www/wwwlogs/proxy_access.log proxy_log; error_log /www/wwwlogs/proxy_error.log; ... }这样所有的代理访问记录都会清晰地记在proxy_access.log文件里。6.4 代理数据库等非HTTP(S)流量ngx_http_proxy_connect_module的强大之处在于它能代理任何基于 TCP 的协议。比如你想让本地开发机通过代理连接远程服务器的 MySQL端口3306。 首先确保配置中允许了该端口proxy_connect_allow 443 563 3306;然后客户端工具如 MySQL Workbench、mysql命令行需要支持 SOCKS5 或 HTTP CONNECT 代理。很多现代工具都支持。对于mysql命令行可以这样需要工具支持# 使用 proxychains 等工具或者某些客户端支持 --proxy 参数 # 这不是mysql原生参数仅示意 mysql -h 远程数据库IP -u user -p --proxyhttp://代理IP:1234更常见的做法是使用支持隧道模式的 SSH 或者专门的数据库连接工具配置代理。这展示了正向代理在统一出口、网络隔离场景下的灵活性。7. 排错指南遇到问题怎么办即使按照步骤操作也可能遇到各种问题。这里我汇总一下常见的坑和解决办法。问题一Nginx 编译失败提示patch错误。原因ngx_http_proxy_connect_module模块可能需要打补丁来适配特定版本的 Nginx 源码。项目提供了补丁脚本。解决进入模块目录查看是否有针对你 Nginx 版本的补丁。cd /www/server/nginx_module/ngx_http_proxy_connect_module ls -la *.patch假设你的 Nginx 版本是 1.22.1可以尝试应用补丁在 Nginx 源码目录下操作但宝塔的安装脚本会自动处理源码我们可以在模块目录下执行# 首先找到宝塔下载的 Nginx 源码路径通常在 /www/server/nginx/src/ 下 cd /www/server/nginx/src/nginx-1.22.1 # 请替换为你的实际版本号 # 应用补丁路径指向模块目录下的补丁文件 patch -p1 /www/server/nginx_module/ngx_http_proxy_connect_module/patch/proxy_connect_rewrite_102101.patch具体用哪个补丁文件需要查看模块的README或根据错误信息判断。如果补丁失败可以考虑在模块的 GitHub 仓库 Issues 里搜索你的 Nginx 版本或者尝试使用模块的不同发布版本。问题二配置完成后重启 Nginx 报错unknown directive proxy_connect。原因这是最典型的错误说明ngx_http_proxy_connect_module模块没有成功编译进 Nginx。解决确认nginx -V命令输出中包含--add-module/www/server/nginx_module/ngx_http_proxy_connect_module。如果没有说明编译安装步骤未成功。请返回第三步仔细检查脚本修改是否正确并重新执行安装命令。确保安装过程中没有报错。如果nginx -V显示有模块但依然报错可能是 Nginx 二进制文件没有替换成功。尝试完全停止 Nginx 服务后再启动/etc/init.d/nginx stop /etc/init.d/nginx start。问题三客户端能连接代理但访问 HTTPS 网站超时或失败。原因这通常是proxy_connect_allow指令没有包含 443 端口或者 DNS 解析问题。解决检查配置中proxy_connect_allow是否包含443。检查resolver配置的 DNS 服务器是否可用。可以临时改为8.8.8.8或223.5.5.5测试。查看 Nginx 错误日志/www/wwwlogs/error.log寻找更具体的错误信息。问题四代理速度很慢。原因可能是 DNS 解析慢或者代理服务器到目标服务器的网络不佳。解决尝试更换更快的resolver比如223.5.5.5阿里云DNS或119.29.29.29腾讯云DNS。调整proxy_connect_connect_timeout和proxy_connect_data_timeout的值适当增大如30s但不要过大。考虑在代理服务器上启用缓存对于可缓存的静态资源但这需要更复杂的配置且对于正向代理缓存内容需谨慎处理隐私和安全问题。问题五宝塔面板升级 Nginx 后正向代理失效了。原因宝塔面板升级 Nginx 会使用原始的、未修改的安装脚本覆盖掉我们手动添加的模块。解决这是使用宝塔面板管理自定义编译软件的一个“痛点”。升级后你需要重新执行一遍第三步修改/www/server/panel/install/nginx.sh脚本添加模块参数然后通过命令行指定版本重新编译安装。因此建议在非必要情况下不要轻易通过面板升级 Nginx。或者将修改后的安装脚本备份升级前先备份升级后再恢复修改并重装。