目录

• 1. 缘起
• 2. 部署nginx
• 3. 测试
• 3.1 http测试
• 3.2 https测试
• 4 给centos设置代理访问外网

  1. 缘起

    最近碰到了一个麻烦事情，就是公司的centos测试服务器放在内网环境，而且不能直接上外网，导致无法通过yum安装软件，非常捉急。

    幸好，内网还是有可以可以访问外网的机器，所以就想到应该可以利用nginx搭建一个代理服务器，然后centos通过这个nginx来访问外网。当然，如果只是代理http还是很简单的，而要代理https还是需要稍费周折，因为nginx本身不能部署被代理的网站的证书，不能部署成https终结点来，因此与被代理客户端之间不能用ssl协议通讯，因此需要通过http协议中的CONNECT请求打通和外网的连接，然后客户端到nginx走明文，nginx到外网走https协议。这里需要用到ngx_http_proxy_connect_module模块来实现CONNECT的代理功能。

  2. 部署nginx

  • 步骤1：   从nginx官网下载nginx源码包。
  • 步骤2：   因为nginx原生是不支持CONNECT请求的，需要安装一个扩展插件，即ngx_http_proxy_connect_module，从github下载ngx_http_proxy_connect_module，另外还要下载一个nginx内核补丁。
  • 步骤3： 解压nginx源码包，进入nginx源码目录，创建modules目录（mkdir modules)。
  • 步骤4： 将ngx_http_proxy_connect_module源码目录放到modules目录中。
  • 步骤5： 将nginx内核补丁放到nginx源码目录，姑且名字叫p1.patch
  • 步骤6： 在nginx源码目录，执行以下命令给nginx内核打上补丁：

    patch -p 1  

    • 步骤7：编译nginx，这里假设nginx安装到/opt/nginx目录中（在编译前确认pcre、zlib、openssl的库是否已经正常安装），编译命令如下：

      ./configure --prefix=/opt/nginx --with-http_ssl_module -add-module=./modules/ngx_http_proxy_connect_modulemake & make install

      • 步骤8：配置nginx

           配置文件如下：

        #user  nobody;worker_processes  1;#error_log  logs/error.log;#error_log  logs/error.log  notice;#error_log  logs/error.log  info;#pid        logs/nginx.pid;events {    worker_connections  1024;}http {    include       mime.types;    default_type  application/octet-stream;    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '    #                  '$status $body_bytes_sent "$http_referer" '    #                  '"$http_user_agent" "$http_x_forwarded_for"';    #access_log  logs/access.log  main;    sendfile        on;    keepalive_timeout  65;  server {        # 代理端口listen 8080;        server_name  localhost;                # 解析被代理网站域名的dns服务器，根据实际情况自行配置        resolver  114.114.114.114;                # 开启proxy connect功能        proxy_connect;                # 设置允许代理的目标端口为443,即https的默认端口        proxy_connect_allow 443 80;        location / {                     # 正向代理配置，根据请求地址自动解析出目标网站地址并进行代理            proxy_pass $scheme://$host$request_uri;                        # 发送到被代理网站的请求需要添加host头            proxy_set_header Host $http_host;        proxy_buffers 256 4k;             proxy_max_temp_file_size 0;            proxy_connect_timeout 30;         }    }}

           以上配置完成后，通过nginx的8080端口，既可以代理普通http的请求，也可以代理https的请求。

        • 步骤9：启动nginx

            执行/opt/nginx/***in/nginx，启动nginx

          3. 测试

          3.1 http测试

          curl "http://www.baidu.com/" -x 127.0.0.1:8080 -v

          响应内容：

          *   Trying 127.0.0.1:8080...* Connected to (nil) (127.0.0.1) port 8080 (#0)> GET http://www.baidu.com/ HTTP/1.1> Host: www.baidu.com> User-Agent: curl/7.81.0> Accept: */*> Proxy-Connection: Keep-Alive> * Mark bundle as not supporting multiuse             新闻 hao123 地图 视频 贴吧  登录  document.write('登录'); 更多产品      
           关于百度 About Baidu 
           
          ©2017 Baidu 使用百度前必读  意见反馈 京ICP证030173号  
               

             通过以上的输出可以看到http代理是没有通过CONNECT请求进行连接的，响应正常。

          3.2 https测试

           curl "https://www.baidu.com/" -x 127.0.0.1:8080 -v

          *   Trying 127.0.0.1:8080...* Connected to (nil) (127.0.0.1) port 8080 (#0)* allocate connect buffer!* Establish HTTP proxy tunnel to www.baidu.com:443> CONNECT www.baidu.com:443 HTTP/1.1> Host: www.baidu.com:443> User-Agent: curl/7.81.0> Proxy-Connection: Keep-Alive>  GET / HTTP/1.1> Host: www.baidu.com> User-Agent: curl/7.81.0> Accept: */*> * TLSv1.2 (IN), TLS header, Supplemental data (23):* Mark bundle as not supporting multiuse             新闻 hao123 地图 视频 贴吧  登录  document.write('登录');                 更多产品      
           关于百度 About Baidu 
           
          ©2017 Baidu 使用百度前必读  意见反馈 京ICP证030173号  
               

            通过以上的输出可以看到https代理是通过CONNECT请求进行连接的，中间有发生ssl的握手过程，也已经正常进行了响应。

          4 给centos设置代理访问外网

            给centos服务器设置两个http_proxy和https_proxy环境变量，假设nginx服务器的ip为192.168.0.1，那么在命令行执行以下两条命令，即：

          export http_proxy="http://192.168.0.1:8080"export https_proxy="https://192.168.0.1:8080"

            然后就可以顺畅地进行yum了。当然，如果可以的话，就将以上两条命令配置到bash.rc中，这样子免得每次登录都需要敲命令。