简介
正向代理 简介
在企业开发环境中，局域网内的设备通常需要通过正向代理服务器访问互联网。正向代理服务器充当中介，帮助客户端请求外部资源并返回结果。局域网内也就是俗称的内网，局域网外的互联网就是外网，在一些特殊场景内，例如：医院。而局域网中的客户端要访问这些资源时，就需要通过代理服务器。这种通过代理服务器访问外部网络资源的方式，就是正向代理。正向代理不仅用于提升访问速度，还能提高网络安全性、管理访问权限和优化网络流量。
原生 nginx 可以作为 http 的正向代理服务器，但是不能用做 https 的正向代理服务器。因为 http 正向代理使用的是 get 请求，但是 https 使用的确实 connect 请求，而原生 nginx 不支持 connect 请求。所以需要第三方模块 ngx_http_proxy_connect_module 来支持 https 的正向代理，使用这个插件，意味着需要重新编译 nginx，在编译的过程中，将插件添加进去。本次编译以目前稳定版 1.24.0 为例。
ngx_http_proxy_connect_module 介绍
-
ngx_http_proxy_connect_module 项目地址：传送门（注：目标地址为 github，打不开则请科学上网）
-
ngx_http_proxy_connect_module 是 Nginx 的一个扩展模块，主要功能是允许 Nginx 作为代理服务器处理 CONNECT 方法。通过该模块，可以将 Nginx 作为 HTTP/HTTPS 代理服务器，甚至可以直接用作 WebSocket 服务器。
注：在 HTTP 协议中，CONNECT 方法主要用于建立隧道（即建立到远程服务器的端到端的加密连接），通常在代理服务器后面的客户端需要通过代理服务器与目标服务器建立安全连接，比如 WebSocket 连接和 HTTPS 的中间人代理。
详细步骤
包准备
-
从 nginx 官网下载 nginx 源码包
注：也可以直接在 Linux 主机上下载：
wget http://nginx.org/download/nginx-1.24.0.tar.gz -
从 github 下载 ngx_http_proxy_connect_module 源码
-
从 github 下载 ngx_http_proxy_connect_module 模块的 nginx 内核补丁
注：
- 请严格按照下图安装和 nginx 版本匹配的 nginx 内核补丁，否则会导致 https 代理不生效。
- ngx_http_proxy_connect_module 源码压缩包内（ngx_http_proxy_connect_module-master/patch/）可能已包含 nginx 内核补丁，这种情况确认即可，无需再下载补丁。
Linux 编译并安装 nginx
# 使用yum包管理工具安装相关编译环境及相关依赖
yum -y install gcc gcc-c++ pcre pcre-devel zlib zlib-devel openssl openssl-devel openssl-libs pcre2
# 或使用dnf包管理工具安装
#dnf -y install gcc gcc-c++ pcre pcre-devel zlib zlib-devel openssl openssl-devel
# 将安装包放于/root目录，可自定义
cd /root
# 上传nginx安装包并解压
tar -zxvf nginx-1.24.0.tar.gz
# 进入nginx安装包解压目录并创建modules源码包存放目录
cd nginx-1.24.0
mkdir ./modules && cd ./modules
# 上传 ngx_http_proxy_connect_module 源码包并解压
unzip ngx_http_proxy_connect_module-master.zip
# 进入nginx安装包解压目录根路径
cd /root/nginx-1.24.0
# 对nginx内核打补丁
patch -p1 < modules/ngx_http_proxy_connect_module-master/patch/proxy_connect_rewrite_102101.patch
# 配置编译参数编译前确认pcre、zlib、openssl的库是否已经正常安装
./configure \
--prefix=/usr/local/nginx \
--with-http_ssl_module \
--with-http_realip_module \
--with-stream \
--with-stream_ssl_module \
--add-module=/root/nginx-1.24.0/modules/ngx_http_proxy_connect_module-master
# --prefix ：指定需要安装的目录，可自定义
# --add-module ：ngx_http_proxy_connect_module-master模块源码路径，根据实际路径修改
# 编译并安装nginx
make && make install
修改 nginx 配置文件
-
编辑配置文件
vi /usr/local/nginx/conf/nginx.conf -
增加如下配置：
server { # 对外服务端口 listen 80; server_name localhost; # 域名解析服务器并禁用ipv6 # 注：若不禁用ipv6，会由于当前互联网对IPv6支持不完整，导致在DNS解析时偶发超时问题（502） resolver 114.114.114.114 valid=60s ipv6=off; # 解析超时时间 resolver_timeout 30s; # 开启porxy connect功能（代理） proxy_connect; # 设置允许代理的目标端口和范围的列表 proxy_connect_allow 80 443 563; # 定义客户端与代理服务器建立连接的超时时间 proxy_connect_connect_timeout 20s; # 定义客户端从代理服务器读取响应的超时时间 proxy_connect_read_timeout 20s; # 设置客户端将请求传输到代理服务器的超时时间 proxy_connect_send_timeout 20s; location / { # 正向代理配置，根据请求地址自动解析出目标网站地址并进行代理 proxy_pass $scheme://$host$request_uri; # 发送到被代理网站的请求需要添加Host请求头 proxy_set_header Host $host; } }
nginx 启动与测试
-
启动
# 启动nginx /usr/local/nginx/sbin/nginx # 重新加载nginx配置 /usr/local/nginx/sbin/nginx -s reload # 停止nginx /usr/local/nginx/sbin/nginx -s stop -
测试 nginx 代理功能了
curl https://www.baidu.com -v -x 127.0.0.1:80
拓展
设置 nginx 开机自启动
-
创建开机自启脚本
vim /etc/systemd/system/nginx.service脚本内容：
# 仅修改 /usr/local/nginx/sbin/nginx 这个路径即可（修改为实际的nginx路径） [Unit] Description=nginx service After=network.target [Service] Type=forking ExecStart=/usr/local/nginx/sbin/nginx ExecReload=/usr/local/nginx/sbin/nginx -s reload ExecStop=/usr/local/nginx/sbin/nginx -s quit PrivateTmp=true [Install] WantedBy=multi-user.target -
设置文件权限
chmod 755 /etc/systemd/system/nginx.service -
设置开机自启动
systemctl daemon-reload systemctl enable nginx -
验证
# nginx启动 systemctl start nginx # nginx停止 systemctl stop nginx # 直接重启服务器即可（nginx就自动重启了） reboot -
常用命令
# 启动nginx服务 systemctl start nginx # 重新启动nginx服务 systemctl restart nginx # 查看nginx服务当前状态 systemctl status nginx # 停止开机自启动 systemctl disable nginx
![某通电子文档安全管理系统 CDGAuthoriseTempletService1接口SQL注入漏洞复现 [附POC]](https://i-blog.csdnimg.cn/direct/f247ed36a4984e6ea4d242eaf454517b.png)
