关于nginx反向代理求教

脸宽 · 发表于 2025-3-14 12:19

本帖最后由脸宽于 2025-3-15 20:53 编辑

前段时期用云服务器，搭建了freshrss，alist，webdav，手上刚好有个域名于是又琢磨用nginx反代理，https网页或者ip+端口访问都没问题。
用fresrss的api就会显示连接不上，alist，webdav这种也同理，网页都能正常个观看，但就是不能通过三方软件连接。

用了1panel面板的openresty，第一张是openresty的文件，第二张是网站设置的文件，第三张反代理那里的配置文件。证书是阿里云申请的，实在搞不懂是哪出问题了。

更新
可能还是证书出问题，2025/03/14 17:44:43 [error] 21#21: *35 cannot load certificate "data:": PEM_read_bio_X509_AUX() failed (SSL: error:0909006C:PEM routines:get_name:no start line:Expecting: TRUSTED CERTIFICATE) while SSL handshaking, client: 185.12.59.118, server: 0.0.0.0:443。

解决了，结贴，谢谢各位

游戏列表 · 发表于 2025-3-14 12:29

alist webdav这种是不是要用stream？

nnknnk · 发表于 2025-3-14 12:56

可能是Web socket没配置
具体情况还是查Nginx的log

bubuyu · 发表于 2025-3-14 12:57

我alist是这样的，第三方软件正常

      location ^~/alist/ {
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_set_header Host $http_host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header Range $http_if_range;
            proxy_set_header If-Range $http_if_range;
            proxy_redirect off;
            proxy_pass http://127.0.0.1:5244/alist/;
            client_max_body_size 10240m;
            break;
      }

论坛助手,iPhone

鸳鸳相抱 · 发表于 2025-3-14 12:59

/etc/hosts加本地域名解析

紧那罗 · 发表于 2025-3-14 13:46

具体信息太少了 https证书搞定了吗
别是浏览器加了自签名证书的吧

强尼高达 · 发表于 2025-3-14 14:25

服务器配置怎样啊，不太弱鸡的话装个1panel吧，再也不用纠结如何写配置这种问题了

某浩 · 发表于 2025-3-14 15:40

没有conf文件，哪知道问题在哪。
或者自己在conf中配置个access log配置，然后看log，有没有头绪咯

脸宽 · 发表于 2025-3-14 17:43

主楼更新了下，麻烦大佬看看

john · 发表于 2025-3-14 18:53

1panel直接在左侧列表里选网站 - 网站 - 创建 - 反向代理，创建好了点到那个域名去开SSL选证书就好了

脸宽 · 发表于 2025-3-14 19:01

john 发表于 2025-3-14 18:53
1panel直接在左侧列表里选网站 - 网站 - 创建 - 反向代理，创建好了点到那个域名去开SSL选证书就好了
...

是这么操作的，https 网页是能正常打开的，没问题的，就是连接到第三方软件就报错

—— 来自鹅球 v3.3.96

john · 发表于 2025-3-14 19:05

脸宽发表于 2025-3-14 19:01
是这么操作的，https 网页是能正常打开的，没问题的，就是连接到第三方软件就报错

—— 来自鹅球 v3.3. ...

你的https网页真的正常吗，别一看浏览器的小锁上面有警告标记

如果有证书但证书存在问题的话，浏览器一开始会跳警告需要你确认，确认以后的表现根据浏览器有所不同
edge：https标记划红线
firefox：安全连接的锁头上有警告标记
safari：没有异常显示

紧那罗 · 发表于 2025-3-14 19:17

如果是公网服务器你还不如把网址贴出来要不这赛博问诊也没辙啊

—— 来自鹅球 v3.3.96-alpha

脸宽 · 发表于 2025-3-14 19:41

紧那罗发表于 2025-3-14 19:17
如果是公网服务器你还不如把网址贴出来要不这赛博问诊也没辙啊

—— 来自鹅球 v3.3.96-alpha ...

好的好的，已经放上了。

脸宽 · 发表于 2025-3-14 19:42

john 发表于 2025-3-14 19:05
你的https网页真的正常吗，别一看浏览器的小锁上面有警告标记

如果有证书但证书存在问题的话，浏览器一开 ...

没有小红锁，主楼也更新了alist的地址

john · 发表于 2025-3-14 20:01

脸宽发表于 2025-3-14 19:42
没有小红锁，主楼也更新了alist的地址

……台式机打开一次上，手机不管用家里网还是移动网都刷N次才能开，你这网页什么情况

你自己建个其他的网站然后反向代理，也是这样吗

紧那罗 · 发表于 2025-3-14 20:12

我本来猜是不是证书链的问题结果还跑不到验证证书的环节
https://whatsmychaincert.com/?alist.071211.xyz
在外面吃饭回头看看具体啥问题

脸宽 · 发表于 2025-3-14 21:44

john 发表于 2025-3-14 20:01
……台式机打开一次上，手机不管用家里网还是移动网都刷N次才能开，你这网页什么情况

你自己建个其他的 ...

我的网络倒没出现问题，访问速度倒还行

脸宽 · 发表于 2025-3-14 21:45

紧那罗发表于 2025-3-14 20:12
我本来猜是不是证书链的问题结果还跑不到验证证书的环节
https://whatsmychaincert.com/?alist.071211.xyz ...

好的，谢谢

char1st · 发表于 2025-3-14 22:32

本帖最后由 char1st 于 2025-3-14 22:35 编辑

curl -v --tlsv1.1 https://alist.071211.xyz
* About to connect() to alist.071211.xyz port 443 (#0)
* Trying 59.110.234.33...
* Connected to alist.071211.xyz (59.110.234.33) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* CAfile: /etc/pki/tls/certs/ca-bundle.crt
CApath: none
* NSS error -12286 (SSL_ERROR_NO_CYPHER_OVERLAP)
* Cannot communicate securely with peer: no common encryption algorithm(s).
* Closing connection 0

tlsv1.0也被rst了
tlsv1.2 tlsv1.3可以

紧那罗 · 发表于 2025-3-14 23:37

从楼上的测试情况来看，我觉得可能是因为你配置的ssl_cipher不支持tls1.0 1.1，也就是顶楼第二张图17？行的内容（没截全，后面不知道写的啥，前面这几个算法是只在tls1.2以上才支持

可以尝试去掉这行配置

脸宽 · 发表于 2025-3-15 00:18

紧那罗发表于 2025-3-14 23:37
从楼上的测试情况来看，我觉得可能是因为你配置的ssl_cipher不支持tls1.0 1.1，也就是顶楼第二张图17？行的 ...

好像不行，绷不住了，我甚至换了个域名，用别家申请 ssl 都不成，感觉不是证书的问题，可能还是配置文件的问题，明天我在上网看看

—— 来自鹅球 v3.3.96

=w= · 发表于 2025-3-15 01:54

楼主你有申请到证书？有的话可以查得到的
https://crt.sh/?q=071211.xyz

比如说本坛的记录
https://crt.sh/?q=saraba1st.com

john · 发表于 2025-3-15 09:49

=w= 发表于 2025-3-15 01:54
楼主你有申请到证书？有的话可以查得到的
https://crt.sh/?q=071211.xyz

访问他的网站显示是DigiCert Inc的证书

YoumuChan · 发表于 2025-3-15 11:04

❯ openssl s_client -servername alist.071211.xyz -connect alist.071211.xyz:443 -prexit
CONNECTED(00000003)
write:errno=104
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 318 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
Early data was not sent
Verify return code: 0 (ok)
---
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 318 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
Early data was not sent
Verify return code: 0 (ok)
---

复制代码

❯ nmap -sV --script=ssl-enum-ciphers -p 443 alist.071211.xyz
Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-03-14 22:56 EDT
Nmap scan report for alist.071211.xyz (59.110.234.33)
Host is up (0.26s latency).
PORT STATE SERVICE VERSION
443/tcp open ssl/https openresty
| http-server-header:
| Beaver
|_ openresty
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 14.85 seconds

复制代码

我怎么感觉你是不是有啥配置，在某些条件下根本不握手啊

YoumuChan · 发表于 2025-3-15 11:18

本帖最后由 YoumuChan 于 2025-3-15 11:28 编辑

草，破案了

❯ nc alist.071211.xyz 443
GET /@login HTTP/1.1
Host: alist.071211.xyz
User-Agent: Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10.6; fr; rv:1.9.2.8) Gecko/20100722 Firefox/3.6.8
Accept: */*
HTTP/1.1 302 Moved Temporarily
Server: openresty
Date: Sat, 15 Mar 2025 03:17:11 GMT
Content-Type: text/html
Content-Length: 142
Connection: close
Location: https://alist.071211.xyz/@login
Strict-Transport-Security: max-age=31536000
<html>
<head><title>302 Found</title></head>
<body>
<center><h1>302 Found</h1></center>
<hr><center>openresty</center>
</body>
</html>

复制代码

您这443背后他就不是一个ssl服务器，背后是一个http服务器。

建议把`if ($scheme)`那段去掉，把80的http单拉一个server {}试一下

=w= · 发表于 2025-3-15 14:24

john 发表于 2025-3-15 09:49
访问他的网站显示是DigiCert Inc的证书

换了好几个浏览器，我可总算是把楼主的网站打开了，也看到是 digicert 的证书
但是很快就打不开了，我怀疑是这个域名已经被重点照顾了，机子在国内然后域名没备案？

脸宽 · 发表于 2025-3-15 14:52

=w= 发表于 2025-3-15 14:24
换了好几个浏览器，我可总算是把楼主的网站打开了，也看到是 digicert 的证书
但是很快就打不开了，我怀 ...

可能是因为我在重建，确实都是机子和域名阿里云的，这个还需要备案吗

脸宽 · 发表于 2025-3-15 16:43

不折腾了，谢谢各位

ryanz · 发表于 2025-3-15 16:50

等等，阿里云的没告诉**内域名要备案嘛，尤其是 8 位数字 xyz 的反诈重点域名

john · 发表于 2025-3-15 19:02

居然还有国内用主机不备案这么野的

你这样还不如买外国主机，我Linode的外国主机配国际顶级域名十几年了好好的

脸宽 · 发表于 2025-3-15 20:53

john 发表于 2025-3-15 19:02
居然还有国内用主机不备案这么野的

你这样还不如买外国主机，我Linode的外国主机配国际顶级域名十几年了好 ...

解决了，估计就是域名的问题，在aws上搭建了一个，然后用阿里云的.top域名解析到cf上。
没想到国内搞这么严

=w= · 发表于 2025-3-15 21:18

本帖最后由 =w= 于 2025-3-15 21:20 编辑

脸宽发表于 2025-3-15 20:53
解决了，估计就是域名的问题，在aws上搭建了一个，然后用阿里云的.top域名解析到cf上。
没想到国内搞这么 ...

你还是换个域名商吧，把域名转入到 cf 或者直接在 cf 买也行
免得以后有事情就三天两头打电话给你，结果就只是一些鸡毛蒜皮的小事

补充：还是换个没在国内域名商托管过的域名比较好，托管过就有记录了，哪怕你转出去了，就算域名已经不再是你的了，也可能找你

脸宽 · 发表于 2025-3-15 21:53

本帖最后由脸宽于 2025-3-15 21:59 编辑

=w= 发表于 2025-3-15 21:18
你还是换个域名商吧，把域名转入到 cf 或者直接在 cf 买也行
免得以后有事情就三天两头打电话给你，结果就 ...

我现在是日本的aws，感觉延迟上还是比国内环境配置的高，有什么办法解决吗
还行，感觉可以接受，当初没买国外的主要是手上的这个38买的，还算比较便宜。

=w= · 发表于 2025-3-15 21:58

脸宽发表于 2025-3-15 21:53
我现在是日本的aws，感觉延迟上还是比国内环境配置的高，有什么办法解决吗 ...

加钱换服务商，上三网优化线路

脸宽 · 发表于 2025-3-15 22:03

=w= 发表于 2025-3-15 21:58
加钱换服务商，上三网优化线路

之前在网上看三网优化服务器不知道是啥，现在知道了，没事够用了。

		自动登录	找回密码
密码			立即注册

[网络] 关于nginx反向代理求教

本帖子中包含更多资源

浏览过的版块