在内网使用 Nginx 反向代理清华镜像站

在内网环境中，服务器经常需要访问外部资源，如开源软件的镜像站。然而，直接访问可能受限于多种因素，如网络策略或地理位置。此时，设置一个反向代理服务器可以极大地方便内网中的服务器访问和更新软件包。本文将介绍如何使用 Nginx 在内网中反向代理清华大学的开源镜像站，并确保通过 HTTPS 安全访问。

域名与 SSL 证书

在配置反向代理时，使用域名 mirror.abc.com 代替直接使用 IP 地址，可以提高可读性并允许通过熟悉的网络命名约定来访问服务。由于镜像站 mirrors.tuna.tsinghua.edu.cn 默认将 HTTP 请求重定向到 HTTPS，配置 SSL 证书变得至关重要。这确保了从 HTTP 到 HTTPS 的无缝过渡，同时保持了数据传输的安全性和用户的信任。

域名与镜像站的关系

mirror.abc.com 是我们为内网反向代理服务配置的自定义域名。它代表了运行反向代理的服务器，使得内网用户能够通过一个易于记忆的地址访问代理服务。而 mirrors.tuna.tsinghua.edu.cn 是清华大学提供的开源镜像站的域名，它提供了 Arch Linux 等开源项目的软件包。

在这种设置中，mirror.abc.com 作为反向代理，转发所有进入的请求到 mirrors.tuna.tsinghua.edu.cn。通过 Nginx 配置的 proxy_pass 指令，所有请求首先被发送到清华大学的镜像站。然后，镜像站的数据被返回并提供给最终用户，模拟了一个透明的代理服务。

Nginx 配置

首先，确保 Nginx 已安装在您的服务器上。接下来，编辑 Nginx 配置文件，通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/sites-available/ 目录下。

HTTP 配置

在 Nginx 配置中添加一个新的 server 块，用于处理 HTTP 请求：

server {
        listen 80;
        server_name mirror.abc.com;
        charset utf-8;
        location / {
          proxy_pass http://mirrors.tuna.tsinghua.edu.cn;
          proxy_set_header Accept-Encoding deflate;
          sub_filter_once off;
          sub_filter mirrors.tuna.tsinghua.edu.cn mirror.abc.com;
   
          proxy_redirect off;
          proxy_set_header        X-Real-IP       $remote_addr;
          proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
          proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;
          proxy_max_temp_file_size 0;
          proxy_connect_timeout 90;
          proxy_send_timeout 90;
          proxy_read_timeout 90;
          proxy_buffer_size 4k;
          proxy_buffers 4 32k;
          proxy_busy_buffers_size 64k;
          proxy_temp_file_write_size 64k;
        }
  }

HTTPS 配置

为了确保数据传输的安全性，配置 HTTPS 是推荐的做法：

server {
    listen 443 ssl;
    server_name  mirror.abc.com;
    ssl_certificate /usr/local/ssl/nginx.crt;       #证书公钥
    ssl_certificate_key  /usr/local/ssl/nginx.key;  #证书私钥
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout 5m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers ECDH:AESGCM:HIGH:!RC4:!DH:!MD5:!3DES:!aNULL:!eNULL;
    ssl_prefer_server_ciphers on;
    proxy_ssl_server_name on;
    # 下面这段location配置是关键
    location / {
       sub_filter mirrors.tuna.tsinghua.edu.cn mirror.abc.com;
       sub_filter_once off;
       proxy_ssl_session_reuse off;
       proxy_set_header X-Real-IP $remote_addr;
       proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
       proxy_set_header Referer https://mirrors.tuna.tsinghua.edu.cn;
       proxy_set_header Host mirrors.tuna.tsinghua.edu.cn;
       proxy_pass https://mirrors.tuna.tsinghua.edu.cn;
       proxy_set_header Accept-Encoding "";
    }
}

生成 SSL 证书

使用 OpenSSL 生成自签名 SSL 证书，步骤如下：

1. 生成私钥：

   openssl genrsa -out nginx.key 2048
   

2. 创建证书签名请求（CSR）：

   openssl req -new -key nginx.key -out nginx.csr -subj "/CN=mirror.abc.com"
   

3. 生成自签名证书：

   openssl x509 -signkey nginx.key -in nginx.csr -req -days 365 -out nginx.crt
   

应用配置

保存 Nginx 配置文件后，重新加载 Nginx 以应用更改：

sudo systemctl reload nginx

结论

通过以上步骤，您可以在内网中设置 Nginx 作为反向代理，以便安全、高效地访问清华大学的开源镜像站。这不仅提高了访问速度，还增强了数据传输的安全性。使用自定义域名和 SSL 证书，我们确保了服务的可靠性和用户的信任。