听说你们很喜欢玩 SNI 反代？

stream {
    server {
        listen 443;
        ssl_preread on;
        resolver 8.8.8.8;
        proxy_pass $ssl_preread_server_name:$server_port;
    }
}

如果这个 trick 没火星的话，你们试成功了赏个感谢吧 😂

8.8.8.8

proxy_pass

SNI

Nginx

36 条回复 • 2017-07-01 11:25:36 +08:00

notes

2017-02-20 23:36:18 +08:00 via Android

不明觉厉

phoenixlzx

2017-02-20 23:54:21 +08:00

感谢已发... 我当时折腾 sniproxy 的时候记得似乎文档都还很少，网上也没什么人关注

就在期待 nginx 啥时候支持 sniproxy....

DesignerSkyline

2017-02-20 23:57:37 +08:00

Excited!

orzfly

2017-02-21 00:03:58 +08:00

Debian 源里 ssl_preread 也已经进入 experimental 状态啦： https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=854214#15

官网文档 https://nginx.org/en/docs/stream/ngx_stream_ssl_preread_module.html

配合 map 超级有趣~

map $ssl_preread_server_name $name {
backend.example.com backend;
default backend2;
}

lhbc

2017-02-21 00:24:27 +08:00

stream_module 非常好玩啊
我们生产环境有用这个模块做四层 LB ，比 haproxy 好玩多了

love4taylor

PRO

2017-02-21 00:43:29 +08:00 via Android

感谢已发...这可真是太好了

legendt

2017-02-21 00:47:35 +08:00

需要 ngx_stream_ssl_preread_module ， ppa mainline 里的居然不带

jacy

2017-02-21 01:08:25 +08:00

4 个 sniproxy 的 ip 被认证，损失惨重，不敢搭建了

est

2017-02-21 08:15:55 +08:00

@jacy 你跑了多大流量。。。

pythonee

2017-02-21 09:29:52 +08:00

楼主不解释这个是什么东东吗

est

2017-02-21 09:58:17 +08:00

1135 次点击 ∙ 54 人收藏 ∙ 12 人感谢

😂

est

2017-02-21 09:58:51 +08:00

围观群众，感兴趣群众和动手群众比例是：

100 : 5 : 1

matsuz

2017-02-21 10:44:01 +08:00 via Android

不加限制的代理很容易被扫描出来，然后。。。

vjnjc

2017-02-21 11:08:48 +08:00

看不懂👀

whx20202

2017-02-21 11:45:45 +08:00

@Love4Taylor 能不能大概说一下 SNI 反代和普通的 https 反向代理有什么区别啊？
我记得 proxy_pass 也是能反向代理的啊

est

2017-02-21 12:08:25 +08:00

@matsuz 加 port knocking 。

est

2017-02-21 12:09:18 +08:00

@whx20202 前者属于 tcp 镜像流复制，后者需要挂证书二次加解密

whx20202

2017-02-21 12:54:04 +08:00

@est 明白了，这个可以干什么？
我感觉至少可以保证代理的时候 http 页面的安全性还有其他内容吗

yoa1q7y

2017-02-21 13:51:59 +08:00

nginx 真好玩啊，天天玩

zen9073

2017-02-21 16:10:03 +08:00

nginx 这是要搞死 haproxy 的节奏啊

wuruxu

2017-02-21 18:49:15 +08:00

等空了试试 nginx ，以前用过 sniproxy ，不稳定，时间长了，就挂了

zbinlin

2017-02-21 19:05:19 +08:00

如果要用 sniproxy ，记得加上限制（验证），扫过香港的 ip ，发现有不少可以用的 sni proxy ip 呢。

lhbc

2017-02-21 19:06:02 +08:00 via iPhone

@zen9073 显然超越 haproxy 了
nginx 四层已经支持 TCP, UDP, SNI, SSL 卸载，还有 nginx-lua 加持

ctsed

2017-02-21 19:08:36 +08:00 via Android

@zbinlin 请教一下如何加限制控制来源 ip 吗

zbinlin

2017-02-21 19:24:35 +08:00

@ctsed @est 在 16 楼已经说了

xdeng

2017-02-21 19:42:57 +08:00

看得一脸懵 x ，哪位高手讲解下。

yuchenr

2017-02-22 09:30:54 +08:00

@lhbc nginx 有想 haproxy 那样的监控页面吗？

lslqtz

2017-02-22 09:53:55 +08:00 via iPhone

非常感谢…

lslqtz

2017-02-22 09:59:05 +08:00 via iPhone

可以通过域名做限制，不过中间人做 https 认证更好玩

lhbc

2017-02-22 10:26:32 +08:00 via iPhone

@yuchenr 你是指这个页面？
http://tecadmin.net/how-to-configure-haproxy-statics/

nginx Plus （商业版）有
nginx 开源版有第三方插件： https://github.com/vozlt/nginx-module-vts
插件目前还不支持 stream 模块，只支持 http 模块。作者表示后续会支持。