Модуль ngx_stream_proxy_module

• Пример конфигурации
• Директивы
• proxy_bind
• proxy_bind_dynamic
• proxy_buffer_size
• proxy_connect_timeout
• proxy_download_rate
• proxy_half_close
• proxy_next_upstream
• proxy_next_upstream_timeout
• proxy_next_upstream_tries
• proxy_pass
• proxy_protocol
• proxy_requests
• proxy_responses
• proxy_session_drop
• proxy_socket_keepalive
• proxy_ssl
• proxy_ssl_alpn
• proxy_ssl_certificate
• proxy_ssl_certificate_cache
• proxy_ssl_certificate_key
• proxy_ssl_ciphers
• proxy_ssl_conf_command
• proxy_ssl_crl
• proxy_ssl_key_log
• proxy_ssl_name
• proxy_ssl_password_file
• proxy_ssl_protocols
• proxy_ssl_server_name
• proxy_ssl_session_reuse
• proxy_ssl_trusted_certificate
• proxy_ssl_verify
• proxy_ssl_verify_depth
• proxy_timeout
• proxy_upload_rate

Модуль ngx_stream_proxy_module (1.9.0) позволяет проксировать потоки данных по протоколам TCP, UDP (1.9.13) и через UNIX-сокеты.

Пример конфигурации

server {
    listen 127.0.0.1:12345;
    proxy_pass 127.0.0.1:8080;
}

server {
    listen 12345;
    proxy_connect_timeout 1s;
    proxy_timeout 1m;
    proxy_pass example.com:12345;
}

server {
    listen 53 udp reuseport;
    proxy_timeout 20s;
    proxy_pass dns.example.com:53;
}

server {
    listen [::1]:12345;
    proxy_pass unix:/tmp/stream.socket;
}

Директивы

Заставляет исходящие соединения с проксируемым сервером исходить с указанного локального IP-address. Значение параметра может содержать переменные (1.11.2). Специальное значение off отменяет действие директивы proxy_bind, унаследованной с предыдущего уровня конфигурации, позволяя системе автоматически назначить локальный IP-адрес.

Параметр transparent (1.11.0) позволяет исходящим соединениям с проксируемым сервером исходить с нелокального IP-адреса, например, с реального IP-адреса клиента:

proxy_bind $remote_addr transparent;

Для работы этого параметра обычно необходимо запускать рабочие процессы nginx с привилегиями суперпользователя. В Linux это не требуется (1.13.8): если указан параметр transparent, рабочие процессы наследуют возможность CAP_NET_RAW от главного процесса. Также необходимо настроить таблицу маршрутизации ядра для перехвата сетевого трафика от проксируемого сервера.

Если параметр включён, операция bind выполняется при каждой попытке подключения.

Эта директива доступна в рамках нашей коммерческой подписки.

Задаёт size буфера, используемого для чтения данных от проксируемого сервера. Также задаёт size буфера, используемого для чтения данных от клиента.

Задаёт таймаут для установки соединения с проксируемым сервером.

Ограничивает скорость чтения данных от проксируемого сервера. rate указывается в байтах в секунду. Нулевое значение отключает ограничение скорости. Ограничение устанавливается для каждого соединения, поэтому, если nginx одновременно откроет два соединения с проксируемым сервером, общая скорость будет вдвое выше указанного ограничения.

Значение параметра может содержать переменные (1.17.0). Это может быть полезно, если скорость нужно ограничивать в зависимости от определённого условия:

map $slow $rate {
    1     4k;
    2     8k;
}

proxy_download_rate $rate;

Включает или отключает независимое закрытие каждого направления TCP-соединения («полузакрытие TCP»). Если параметр включён, проксирование по TCP продолжается, пока обе стороны не закроют соединение.

Если соединение с проксируемым сервером установить не удалось, определяет, будет ли клиентское соединение передано следующему серверу.

Передача соединения следующему серверу может ограничиваться количеством попыток и временем.

Ограничивает время, отведённое на передачу соединения следующему серверу. Значение 0 отключает это ограничение.

Ограничивает количество возможных попыток передачи соединения следующему серверу. Значение 0 отключает это ограничение.

Задаёт адрес проксируемого сервера. Адрес можно указать в виде доменного имени или IP-адреса и порта:

proxy_pass localhost:12345;

или в виде пути к UNIX-сокету:

proxy_pass unix:/tmp/stream.socket;

Если доменное имя разрешается в несколько адресов, они будут использоваться по очереди. Кроме того, адрес можно указать в виде группы серверов.

Адрес также можно указать с помощью переменных (1.11.3):

proxy_pass $upstream;

В этом случае имя сервера ищется среди описанных групп серверов, а если оно не найдено, определяется с помощью резолвера.

Включает протокол PROXY для соединений с проксируемым сервером.

Задаёт количество датаграмм от клиента, после которого разрывается привязка клиента к существующему сеансу потока UDP. После получения указанного количества датаграмм следующая датаграмма от того же клиента начинает новый сеанс. Сеанс завершается, когда все датаграммы клиента переданы проксируемому серверу и получено ожидаемое количество ответов либо истёк таймаут.

Задаёт количество датаграмм, ожидаемых от проксируемого сервера в ответ на датаграмму клиента, если используется протокол UDP. Это число служит подсказкой для завершения сеанса. По умолчанию количество датаграмм не ограничено.

Если указано нулевое значение, ответ не ожидается. Однако если ответ получен, а сеанс ещё не завершён, ответ будет обработан.

Включает завершение всех сеансов с проксируемым сервером после его удаления из группы или пометки как постоянно недоступного. Это может произойти в результате повторного разрешения имени или при выполнении команды API DELETE. Сервер может быть помечен как постоянно недоступный, если он считается неработоспособным или при выполнении команды API PATCH. Каждый сеанс завершается при обработке следующего события чтения или записи для клиента либо проксируемого сервера.

Эта директива доступна в рамках нашей коммерческой подписки.

Настраивает поведение «TCP keepalive» для исходящих соединений с проксируемым сервером. По умолчанию используются системные настройки сокета. Если директива установлена в значение «on», для сокета включается параметр SO_KEEPALIVE.

Включает протокол SSL/TLS для соединений с проксируемым сервером.

Задаёт список протоколов, объявляемых с помощью расширения ALPN при установлении соединения с проксируемым сервером. Например:

proxy_ssl_alpn h2 http/1.1;

Значение параметра может содержать переменные:

proxy_ssl_alpn $ssl_alpn_protocol;

Задаёт file с сертификатом в формате PEM, используемым для аутентификации на проксируемом сервере.

Начиная с версии 1.21.0, в имени file можно использовать переменные.

Определяет кэш для хранения SSL-сертификатов и секретных ключей, указанных с помощью переменных.

Директива принимает следующие параметры:

max

задаёт максимальное количество элементов в кэше; при переполнении кэша удаляются элементы, которые использовались дольше всего назад (LRU);

inactive

задаёт время, по истечении которого элемент удаляется из кэша, если к нему не обращались в течение этого времени; по умолчанию — 10 секунд;

valid

задаёт время, в течение которого элемент в кэше считается действительным и может быть повторно использован; по умолчанию — 60 секунд. Сертификаты, срок действия кэша которых истёк, будут загружены или проверены повторно;

off

отключает кэш.

Пример:

proxy_ssl_certificate       $proxy_ssl_server_name.crt;
proxy_ssl_certificate_key   $proxy_ssl_server_name.key;
proxy_ssl_certificate_cache max=1000 inactive=20s valid=1m;

Вместо file можно указать значение store:scheme:id (1.29.0), которое используется для загрузки секретного ключа с указанным id и URI зарегистрированного провайдера OpenSSL scheme, например pkcs11.

Задаёт file с секретным ключом в формате PEM, используемым для аутентификации на проксируемом сервере.

Начиная с версии 1.21.0, в имени file можно использовать переменные.

Задаёт разрешённые наборы шифров для соединений с проксируемым сервером. Наборы шифров указываются в формате, который понимает библиотека OpenSSL.

Полный список можно посмотреть с помощью команды «openssl ciphers».

Задаёт произвольные команды конфигурации OpenSSL при установлении соединения с проксируемым сервером.

Директива поддерживается при использовании OpenSSL версии 1.0.2 или выше.

На одном уровне можно указать несколько директив proxy_ssl_conf_command. Эти директивы наследуются с предыдущего уровня конфигурации только в том случае, если на текущем уровне не определены директивы proxy_ssl_conf_command.

Обратите внимание: непосредственная настройка OpenSSL может привести к неожиданному поведению.

Задаёт file с отозванными сертификатами (CRL) в формате PEM, используемый для проверки сертификата проксируемого сервера. При использовании промежуточных сертификатов их списки отзыва следует указать в том же файле.

Включает журналирование SSL-ключей соединения с проксируемым сервером и задаёт путь к файлу журнала ключей. Ключи записываются в формате SSLKEYLOGFILE, совместимом с Wireshark.

Эта директива доступна в рамках нашей коммерческой подписки.

Позволяет переопределить имя сервера, используемое для проверки сертификата проксируемого сервера и передаваемое через SNI при установлении соединения с проксируемым сервером. Имя сервера также можно указать с помощью переменных (1.11.3).

По умолчанию используется имя хоста из адреса proxy_pass.

Задаёт file с парольными фразами для секретных ключей, каждая парольная фраза указывается на отдельной строке. При загрузке ключа парольные фразы проверяются по очереди.

Включает указанные протоколы для соединений с проксируемым сервером.

С версии 1.23.4 по умолчанию используется параметр TLSv1.3.

Включает или отключает передачу имени сервера через расширение TLS Server Name Indication (SNI, RFC 6066) при установлении соединения с проксируемым сервером.

Определяет, можно ли повторно использовать SSL-сеансы при работе с проксируемым сервером. Если в журналах появляются ошибки «digest check failed», попробуйте отключить повторное использование сеансов.

Задаёт file с доверенными сертификатами удостоверяющих центров в формате PEM, используемый для проверки сертификата проксируемого сервера.

Включает или отключает проверку сертификата проксируемого сервера.

Задаёт глубину проверки цепочки сертификатов проксируемого сервера.

Задаёт timeout между двумя последовательными операциями чтения или записи для соединений с клиентом или проксируемым сервером. Если в течение этого времени данные не передаются, соединение закрывается.

Ограничивает скорость чтения данных от клиента. rate указывается в байтах в секунду. Нулевое значение отключает ограничение скорости. Ограничение устанавливается для каждого соединения, поэтому, если клиент одновременно откроет два соединения, общая скорость будет вдвое выше указанного ограничения.

Значение параметра может содержать переменные (1.17.0). Это может быть полезно, если скорость нужно ограничивать в зависимости от определённого условия:

map $slow $rate {
    1     4k;
    2     8k;
}

proxy_upload_rate $rate;