nginx для передачи запроса без дешифровки (ssl)

listen 443

Это HTTP сервер, но на 443 порту. Ты можешь включить TLS, добавив в параметры «ssl», но так ты терминируешь TLS на Nginx’е. Бекенды увидят только Nginx в качестве клиента.

Скорее всего, тебе нужна балансировка TCP соединений: https://docs.nginx.com/nginx/admin-guide/load-balancer/tcp-udp-load-balancer/

У тебя автораизация клиентов по клиентским сертификатам используется? На одном IP и порту несколько доменов которые надо по разному обрабатывать? Тогда кажется единственный вариант это проверять клиентский сертификат силами nginx и передавать результат проверки на бекэнд кастомным http заголовком (так же как передаётся IP в стандартной связке nginx+apache).

На сколько я понимаю nginx не умеет разбирать https запрос, выуживать из него домен и в зависимости от этого домена либо обрабатывать как обычно, либо пробрасывать на бекэнд без ssl offload (на манер ngx_stream_core_module. Так что либо ssl offload на nginx, либо отдельный IP:порт для этого домена. Но возможно я ошибаюсь

Не совсем понял про авторизацию клиентов, но да, на одном IP и порту у меня несколько доменов. Суть в том, что вот сейчас я поставил nginx, который получает запросы на 80 и 443 порты. И в зависимости от полученного доменного имени должен перебрасывать их дальше (локальная сеть). При этом проверку сертификата должен делать конечный сервер, а не этот промежуточный nginx.

Сейчас сделал вот такой конфиг:

stream {
    server {
        listen 80;
        proxy_pass 172.17.0.2:80;
    }
    
    server {
        listen 443;
        proxy_pass 172.17.0.2:443;
    }
}

Работает исправно, но только с одним сервером. Как только пытаюсь в секцию server{} добавить server_name, чтобы запросы с одних доменов пересылать на один IP, а с других - на другой, то натыкаюсь на ошибку:

nginx: [emerg] «server_name» directive is not allowed here

Это вот ограничение уже никак не обойти, да, если я правильно понял? Типа nginx не умеет вычленять доменное имя из https-запроса?

При этом проверку сертификата должен делать конечный сервер, а не этот промежуточный nginx.

Что ты имеешь в виду под «проверкой сертификатов»?

Думаю терминирование.

Я тоже так думаю, но думаю лучше подождать ответа ТСа

http://nginx.org/en/docs/stream/ngx_stream_ssl_preread_module.html

Думал nginx так не умеет, не догадался глянуть какие там ещё модули для stream есть

Да, неправильно выразился. Речь о расшифровке запроса - её должен делать конечный в данной цепочке сервер, а не вот этот nginx, который у меня выступает в роли диспетчера (перенаправляет запросы к конечным серверам локальной сети в зависимости от доменного имени). Потом что SSL-сертификат устанавливается только вот на конечных серверах совсем другими людьми, которым не хотелось бы давать доступ на этот «диспетчер».

Спасибо, ознакомлюсь!

Если я правильно понял, то nginx stream proxy должно помочь.