Nginx 反向代理透传客户端证书

Question

我正在尝试通过 Nginx 反向代理设置负载均衡器。我的应用程序使用客户端证书来验证客户端。我希望我的反向代理将客户端证书转发到我的后端服务器。我已将此行添加到反向代理的配置中，以将客户端证书信息存储在自定义 HTTP 标头中：

proxy_set_header X-SSL-CERT $ssl_client_cert

但是，$ssl_client_cert使用多行来存储证书，并且我的后端 nginx 服务器无法将其正确识别为一个 HTTP 标头。实现转发我的客户证书的最佳方法是什么？

这个问题在 2013 年在这个论坛上被问过，但到目前为止还没有真正的解决方案：https : //forum.nginx.org/read.php?2,236546,236546

谢谢！

Answer 1

所以我找到了一个解决方案。我删除证书中的所有换行符，并将它们作为单个 HTTP 标头从代理发送到后端，类似于此处的解释：

https://forum.nginx.org/read.php?2,236546,236546

在我的后端，我通过每 64 个字符添加一个换行符来重建证书。反向代理的更新代码如下，最多工作 26 行：

map $ssl_client_raw_cert $a {
   "~^(-.*-\n)(?<st>[^\n]+)\n((?<b>[^\n]+)\n)?((?<c>[^\n]+)\n)?((?<d>[^\n]+)\n)?((?<e>[^\n]+)\n)?((?<f>[^\n]+)\n)?((?<g>[^\n]+)\n)?((?<h>[^\n]+)\n)?((?<i>[^\n]+)\n)?((?<j>[^\n]+)\n)?((?<k>[^\n]+)\n)?((?<l>[^\n]+)\n)?((?<m>[^\n]+)\n)?((?<n>[^\n]+)\n)?((?<o>[^\n]+)\n)?((?<p>[^\n]+)\n)?((?<q>[^\n]+)\n)?((?<r>[^\n]+)\n)?((?<s>[^\n]+)\n)?((?<t>[^\n]+)\n)?((?<v>[^\n]+)\n)?((?<u>[^\n]+)\n)?((?<w>[^\n]+)\n)?((?<x>[^\n]+)\n)?((?<y>[^\n]+)\n)?((?<z>[^\n]+)\n)?(-.*-)$" $st;
}

server {
   location / {
      proxy_set_header X-cert $a$b$c$d$e$f$g$h$i$j$k$l$m$n$o$p$q$r$s$t$v$u$w$x$y$z;
      proxy_pass http://localhost:8000;
   }
}

（请注意，我已经删除了以数字开头的变量）虽然这个解决方案并不理想，但它目前对我有用。另一种解决方案是仅发送证书的 DN 信息，这是一行。目前这对我不起作用，因为我没有在我的数据库中存储每个 DN。