如何用 Nginx 反向代理 SSL 的網站

by Rain Chu | 6 月 9, 2025 | Nginx, SERVER

在從網路上取得網頁時，如果想用 Nginx 作為反向代理器來連線一個介由 Cloudflare 保護且介面是 HTTPS 的網站，你可能會遇到一些繁複的錯誤，包括 Cloudflare Error 1001，502 Bad Gateway，或 421 Misdirected Request 等，這邊就分享一下我遇到的經驗以及如何正確設定 Nginx，反向代理一個有 SSL 保護的網站。

環境概要

• Nginx 作為前端 proxy ：shop.example.com
• Upstream 目標 ：https://target.example.com（Cloudflare 網站）
• Cloudflare 用於 DNS + CDN + WAF

1. Nginx 基礎設定

幾個重點

1.1 要聽 443 port

1.2 要設定 proxy_ssl_name, proxy_ssl_server_name

1.3 DNS 要設定 resolver

upstream secure_pool {
    server target.example.com:443;
    keepalive 16;
}

server {
    listen 443 ssl;
    server_name shop.example.com;

    ssl_certificate /etc/letsencrypt/live/shop.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/shop.example.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    resolver 1.1.1.1 8.8.8.8 valid=300s;

    location / {
        proxy_pass https://secure_pool;
        proxy_ssl_server_name on;
        proxy_ssl_name target.example.com;
        proxy_set_header Host target.example.com;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header User-Agent "Mozilla/5.0 (compatible; Nginx Proxy)";
    }
}

2. 常見錯誤與解決方案

❌ Error 1001 – DNS Resolution Error (Cloudflare)

• 原因：Cloudflare 無法解析 upstream hostname
• 解決：確保 Nginx 加入 resolver 設定

❌ 502 Bad Gateway

• 原因：upstream HTTPS 連線失敗
• 解決：
  • proxy_pass 設為 https://...
  • proxy_ssl_server_name on;
  • 加入 proxy_ssl_name + Host 不要用 $host

❌ 421 Misdirected Request

• 原因：SNI 與 Host header 不符
• 解決：
  • proxy_ssl_name target.example.com;
  • proxy_set_header Host target.example.com;

3. Debug 技巧

看 error log 解答還原:

用 curl 測試 upstream 是否支援 HTTPS

4. 結論

要用 Nginx 來反向代理一個 SSL 網站，最重要的是使 Nginx 能「知道」你的 upstream 是 HTTPS，且 TLS SNI 與 Host 項目必須一致。

Nginx 啟用 Brotli 壓縮模組

by rainchu | 12 月 19, 2024 | Nginx, SERVER

確認 Nginx 版本

安裝 Brotli 模組

有安裝的可以跳過這一步驟，但多數 nginx 是預設沒有安裝 brotli 模組的，下載 brotli 並且安裝

cd /path/to/nginx/source
./configure --add-module=/path/to/ngx_brotli
make
sudo make install

配置 Nginx 啟用 Brotli 壓縮

找到 nginx 的設定檔，通常位於 /etc/nginx/nginx.conf ，如果是自己編譯的通常位於 /usr/local/nginx/conf/nginx.conf

brotli on;
brotli_comp_level 6;
brotli_static on;
brotli_types text/plain text/css application/javascript application/json text/xml application/xml application/xml+rss text/javascript image/x-icon image/svg+xml;

brotli on;：啟用 Brotli 壓縮。

brotli_comp_level 6;：設定壓縮等級，範圍為 0（無壓縮）到 11（最高壓縮），建議值為 6。

brotli_static on;：允許查找預先壓縮的 .br 檔案。

brotli_types ...;：指定需要壓縮的 MIME 類型，可根據實際需求進行調整。

測試並重新載入 Nginx

sudo nginx -t
sudo systemctl reload nginx

驗證 Brotli 壓縮是否啟用

curl -I -H "Accept-Encoding: br" https://您的域名

如果回應頭中包含 Content-Encoding: br，則表示 Brotli 壓縮已成功啟用。

Brotli 壓縮的關鍵特性

高壓縮率

• Brotli 使用自適應哈夫曼編碼和自定義字典來提高壓縮率，比 Gzip 通常高出 15% 至 25%。
• 更高的壓縮率可以減少網頁資源的大小，從而提升網站的載入速度。

快速解壓

• 雖然 Brotli 的壓縮過程稍慢，但解壓速度非常快，這對於瀏覽器端非常重要，因為解壓過程是即時進行的。

支援範圍廣泛

• Brotli 已被主流的現代瀏覽器（如 Chrome、Firefox、Edge 和 Safari）支援，並且可與 Web 伺服器（如 Nginx 和 Apache）整合。

適合靜態和動態內容

• Brotli 特別適合靜態資源（如圖片和腳本）壓縮，對動態生成的內容同樣表現出色。

Brotli 與 Gzip 的比較表

相關資源