通过Nginx的正向代理审计监控内网用户的外网访问记录

　　正向代理
　　一个位于客户端和目标服务器之间的Nginx正向代理服务器，客户端向Nginx正向代理发送一个请求并指定目标服务器，然后代理向目标服务器转交请求并将获得的内容返回给客户端及本地代理服务器缓存
　　适用场景：用于解决内网服务器通过代理服务器访问外网监控内网终端的外网访问记录代理端缓存外网访问的响应结构，加速外网访问
　　正向代理又细分为http、https流量的透明代理和非透明代理透明代理指利用内网dns将待访问的域名解析到Nginx的透明代理，终端用户利用内网dns后不需要进行任何代理服务器设置非透明代理指终端用户需要设置代理服务器信息
　　如何代理加密的HTTPS流量是正向代理需要解决的主要问题，当前主要的两种方式：七层解决：HTTPCONNECT透传（隧道）模式，即不解密不感知上层流量四层解决：NGINXStreamhttp流量
　　1、透明代理，利用本机hosts或DNS解析待访问的目标域名到代理服务器IpNginx透明正向代理http流量主要配置server｛resolver114。114。114。114；listen80；accesslogvarlognginxaccess。80。logmain；location｛proxypasshttp：httphostrequesturi；proxysetheaderHOSThttphost；proxybuffers2564k；proxymaxtempfilesize0k；proxyconnecttimeout30；proxysendtimeout60；proxyreadtimeout60；proxynextupstreamerrortimeoutinvalidheaderhttp502；｝｝
　　2、非透明代理，需在客户终端设置代理服务器信息Nginx非透明正向代理http流量主要配置server｛resolver114。114。114。114；listen1080；location｛proxypasshttp：httphostrequesturi；proxysetheaderHOSThttphost；proxybuffers2564k；proxymaxtempfilesize0k；proxyconnecttimeout30；proxysendtimeout60；proxyreadtimeout60；proxynextupstreamerrortimeoutinvalidheaderhttp502；｝｝https流量
　　1、HTTPCONNECT隧道方式（非透明代理）需要ngxhttpproxyconnectmodule模块支持；客户端需要指定https代理服务器yumyinstallgccczlibdevelopenssldevel。x8664pcredevelgddevelpatchwgethttp：nginx。orgdownloadnginx1。20。1。tar。gztarxfnginx1。20。1。tar。gzcdnginx1。20。1给nginx打补丁，需要根据不同的nginx版本选择对应的补丁cdrootsrcgitclonehttps：github。comchobitsngxhttpproxyconnectmodulecdnginx1。20。1patchp1rootsrcngxhttpproxyconnectmodulepatchproxyconnectrewrite1018。patch。configureprefixetcnginxsbinpathusrsbinnginxmodulespathusrlib64nginxmodulesconfpathetcnginxnginx。conferrorlogpathvarlognginxerror。loghttplogpathvarlognginxaccess。logpidpathvarrunnginx。pidlockpathvarrunnginx。lockhttpclientbodytemppathvarcachenginxclienttemphttpproxytemppathvarcachenginxproxytemphttpfastcgitemppathvarcachenginxfastcgitemphttpuwsgitemppathvarcachenginxuwsgitemphttpscgitemppathvarcachenginxscgitempusernginxgroupnginxwithcompatwithfileaiowiththreadswithhttpadditionmodulewithhttpauthrequestmodulewithhttpdavmodulewithhttpflvmodulewithhttpgunzipmodulewithhttpgzipstaticmodulewithhttpmp4modulewithhttprandomindexmodulewithhttprealipmodulewithhttpsecurelinkmodulewithhttpslicemodulewithhttpsslmodulewithhttpstubstatusmodulewithhttpsubmodulewithhttpv2modulewithmailwithmailsslmodulewithstreamwithstreamrealipmodulewithstreamsslmodulewithstreamsslprereadmodulewithccoptO2gpipeWallWp，DFORTIFYSOURCE2fexceptionsfstackprotectorstrongparamsspbuffersize4grecordgccswitchesm64mtunegenericfPICwithldoptWl，z，relroWl，z，nowpieaddmodulerootsrcngxhttpproxyconnectmodulemakemakeinstallmkdirpvarcachenginxclienttempuseraddMrssbinnologinnginxnginxserver配置server｛listen8443；resolver114。114。114。114；accesslogvarlognginxaccess。8443。logmain；proxyconnect；proxyconnectallow443；proxyconnectconnecttimeout10s；proxyconnectreadtimeout10s；proxyconnectsendtimeout10s；location｛proxypasshttp：host；proxysetheaderHosthost；｝｝linux命令行设置http代理服务器exporthttpproxy192。168。31。68：1080exporthttpproxy192。168。31。68：8443通过curl测试代理服务器是否正常curlproxy192。168。31。68：8443https：www。baidu。comsvodevnullcurlhttp：192。168。31。17：1083svodevnull
　　2、NGINXStream方式（HTTPS流量的透明正向代理）需要withstream，withstreamsslprereadmodule、withstreamsslmodule模块的支持；利用ngxstreamsslprereadmodule模块，在不解密的情况下拿到HTTPS流量待访问目标域名（利用TLSSSL握手的第一个ClientHello报文中的扩展地址SNI（ServerNameIndication）来获取）；如果客户端没有携带SNI字段，会造成代理服务器无法获取待访问目标服务域名，导致访问不成功；因此要求所有客户端都需要在TLSSSL握手中带上SNI字段！！将待访问的所有域名利用内网dns或hosts解析到代理服务器；客户端侧则不需要指定代理服务器信息stream｛resolver114。114。114。114；logformatmainremoteaddr〔timelocal〕protocolstatusbytessentbytesreceivedsessiontimeupstreamaddrupstreambytessentupstreambytesreceivedupstreamconnecttimeremoteaddrremoteportserveraddrserverport；accesslogvarlognginxaccess。443。logmain；server｛listen443；sslprereadon；proxyconnecttimeout5s；proxypasssslprereadservername：serverport；｝｝命令行测试或通过浏览器测试将要访问的目标域名通过本机hosts或内网dns解析到代理服务器opensslsclientconnectwww。baidu。com：443servernamewww。baidu。com