NC 使用Nginx实现https的反向代理

summary: [通过Nginx实现NCC的https访问，并解决UClient应用的问题]

1 概述

通过Nginx 安装配置反向代理，实现NC、NCC的https访问。
本文以NCC2005为例，说明如何配置Nginx、NCC，以及解决UClient无法访问https代理的问题。
其他版本的NC可以以此类推。
2 实现需求

NCC2005应用地址：http://10.16.51.147:2005
Nginx_1.22.0服务地址：10.16.51.147
最终实现代理访问：

https://10.16.51.147 -> http://10.16.51.147:2005
https://10.16.51.147:4433 ->  http://10.16.51.147:2005
http://10.16.51.147 -> http://10.16.51.147:2005

3 解决方案

3.1 Nginx配置

nginx.conf文件配置如下：

1. # Generated by nginxconfig.io
2. # See nginxconfig.txt for the configuration share link
4. user                 root;
5. pid                  /run/nginx.pid;
6. worker_processes     auto;
7. worker_rlimit_nofile 65535;
9. #error_log  logs/error.log;
10. #error_log  logs/error.log  notice;
11. #error_log  logs/error.log  info;
13. # Load modules
14. include              /usr/local/nginx/conf/modules-enabled/*.conf;
16. events {
17.     multi_accept       on;
18.     worker_connections 65535;
19. }
21. http {
22.     charset                utf-8;
23.     sendfile               on;
24.     tcp_nopush             on;
25.     tcp_nodelay            on;
26.     server_tokens          off;
27.     log_not_found          off;
28.     types_hash_max_size    2048;
29.     types_hash_bucket_size 64;
30.     client_max_body_size   2048M;
32.     # MIME
33.     include                mime.types;
34.     default_type           application/octet-stream;
36.     # Logging
37.     #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
38.     #                  '$status $body_bytes_sent "$http_referer" '
39.     #                  '"$http_user_agent" "$http_x_forwarded_for"';
40.     access_log             logs/access.log;
41.     error_log              logs/error.log warn;
43.     # SSL
44.     ssl_session_timeout    1d;
45.     ssl_session_cache      shared:SSL:10m;
46.     ssl_session_tickets    off;
48.     # Diffie-Hellman parameter for DHE ciphersuites
49.     # ssl_dhparam            /usr/local/nginx/conf/dhparam.pem;
51.     # Mozilla Old configuration
52.     ssl_protocols             SSLv3 TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
53.     ssl_ciphers               ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA;
54.     ssl_prefer_server_ciphers on;
56.     # OCSP Stapling
57.     # ssl_stapling           on;
58.     # ssl_stapling_verify    on;
59.     # resolver               1.1.1.1 1.0.0.1 8.8.8.8 8.8.4.4 208.67.222.222 208.67.220.220 valid=60s;
60.     # resolver_timeout       2s;
61.     # ssl_trusted_certificate /usr/local/nginx/conf/ssl/ncc2005.cxjk.com.crt;
63.     # Connection header for WebSocket reverse proxy
64.     # map $http_upgrade $connection_upgrade {
65.     #     default upgrade;
66.     #     ""      close;
67.     # }
69.     # map $remote_addr $proxy_forwarded_elem {
71.     #     # IPv4 addresses can be sent as-is
72.     #     ~^[0-9.]+$        "for=$remote_addr";
74.     #     # IPv6 addresses need to be bracketed and quoted
75.     #     ~^[0-9A-Fa-f:.]+$ "for="[$remote_addr]"";
77.     #     # Unix domain socket names cannot be represented in RFC 7239 syntax
78.     #     default           "for=unknown";
79.     # }
81.     # map $http_forwarded $proxy_add_forwarded {
83.     #     # If the incoming Forwarded header is syntactically valid, append to it
84.     #     "~^(,[ \\t]*)*([!#$%&'*+.^_`|~0-9A-Za-z-]+=([!#$%&'*+.^_`|~0-9A-Za-z-]+|"([\\t \\x21\\x23-\\x5B\\x5D-\\x7E\\x80-\\xFF]|\\\\[\\t \\x21-\\x7E\\x80-\\xFF])*"))?(;([!#$%&'*+.^_`|~0-9A-Za-z-]+=([!#$%&'*+.^_`|~0-9A-Za-z-]+|"([\\t \\x21\\x23-\\x5B\\x5D-\\x7E\\x80-\\xFF]|\\\\[\\t \\x21-\\x7E\\x80-\\xFF])*"))?)*([ \\t]*,([ \\t]*([!#$%&'*+.^_`|~0-9A-Za-z-]+=([!#$%&'*+.^_`|~0-9A-Za-z-]+|"([\\t \\x21\\x23-\\x5B\\x5D-\\x7E\\x80-\\xFF]|\\\\[\\t \\x21-\\x7E\\x80-\\xFF])*"))?(;([!#$%&'*+.^_`|~0-9A-Za-z-]+=([!#$%&'*+.^_`|~0-9A-Za-z-]+|"([\\t \\x21\\x23-\\x5B\\x5D-\\x7E\\x80-\\xFF]|\\\\[\\t \\x21-\\x7E\\x80-\\xFF])*"))?)*)?)*$" "$http_forwarded, $proxy_forwarded_elem";
86.     #     # Otherwise, replace it
87.     #     default "$proxy_forwarded_elem";
88.     # }
90.     # Load configs
91.     include /usr/local/nginx/conf/conf.d/*.conf;
93.     # ncc2005.cxjk.com
94.     server {
95.         listen                             443 ssl;
96.         listen                             [::]:443 ssl;
97.         server_name                        10.16.51.147;
99.         # SSL
100.         ssl_certificate                    /usr/local/nginx/ssl/server.crt;
101.         ssl_certificate_key                /usr/local/nginx/ssl/server.key;
102.         
103.         # security headers
104.         # add_header X-XSS-Protection        "1; mode=block" always;
105.         # add_header X-Content-Type-Options  "nosniff" always;
106.         # add_header Referrer-Policy         "no-referrer-when-downgrade" always;
107.         # add_header Content-Security-Policy "default-src 'self' http: https: ws: wss: data: blob: 'unsafe-inline'; frame-ancestors 'self';" always;
108.         # add_header Permissions-Policy      "interest-cohort=()" always;
109.         
110.         # deny access to .htaccess files, if Apache's document root
111.         # concurs with nginx's one
112.         #
113.         # . files
114.         location ~ /\.(?!well-known) {
115.             deny all;
116.         }
118.         # logging
119.         access_log logs/ncc2005.cxjk.com.access.log;
120.         error_log  logs/ncc2005.cxjk.com.error.log warn;
122.         # reverse proxy
123.         location / {
124.             proxy_pass                         http://10.16.51.147:2005;
125.             proxy_set_header Host              $http_host; # ncc必须设置
126.             proxy_http_version                 1.1; # 定义用于代理的HTTP协议版本，默认情况下将其设置为1.0。对于Websocket和 keepalive 连接，需要使用1.1版
127.             
128.             # proxy_cache_bypass                 $http_upgrade; # 设置不从缓存中获取响应的条件
130.             # Proxy SSL
131.             proxy_ssl_server_name              on;
133.             # Proxy headers
134.             # 如果应用程序使用Websockets，则这些Upgrade、Connection字段是必填字段
135.             # proxy_set_header Upgrade           $http_upgrade;
136.             # proxy_set_header Connection        $connection_upgrade;
137.             proxy_set_header Connection                   "";
138.             proxy_set_header X-Real-IP         $remote_addr; # 将真实的访客远程IP地址转发到代理服务器
139.             proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for; # ncc必须设置（包含客户端被代理的每个服务器的IP地址的列表）
140.             # proxy_set_header X-Forwarded-Proto $scheme; # ncc不可设置此参数（在HTTPS服务器块中使用时，来自代理服务器的每个HTTP响应都会重写为HTTPS）
141.             proxy_set_header X-Forwarded-Host  $host; # 定义客户端请求的原始主机
142.             proxy_set_header X-Forwarded-Port  $server_port; # 定义客户端请求的原始端口
144.             # Proxy timeouts 超时设置不宜过短，否则类似导入数据这样的长业务场景会发生upstream time out错误
145.             proxy_connect_timeout              7200s;
146.             proxy_send_timeout                 7200s;
147.             proxy_read_timeout                 7200s;
149.             proxy_redirect http:// $scheme://; # ncc必须设置，否则轻量端访问异常（将后端响应header location内容中的http://替换成用户端协议https://）。如果做了http强转https，且都是采用默认端口（80,443），则可不设置此参数，因为重定向后的http:80会转为https:443。
151.             proxy_headers_hash_max_size 512;
152.             proxy_headers_hash_bucket_size 128;
153.         }
155.         # favicon.ico
156.         location = /favicon.ico {
157.             log_not_found off;
158.             access_log    off;
159.         }
161.         # robots.txt
162.         location = /robots.txt {
163.             log_not_found off;
164.             access_log    off;
165.         }
167.         #error_page  404              /404.html;
169.         # redirect server error pages to the static page /50x.html
170.         #
171.         error_page   500 502 503 504  /50x.html;
172.         location = /50x.html {
173.             root   html;
174.         }
176.         # gzip
177.         gzip            on;
178.         gzip_vary       on;
179.         gzip_proxied    any;
180.         gzip_comp_level 6;
181.         gzip_types      text/plain text/css text/xml application/json application/javascript application/rss+xml application/atom+xml image/svg+xml;
182.         gzip_min_length 10k;
183.         gzip_disable "MSIE [1-6]\.";
184.     }
186.     # 4433 端口
187.     server {
188.         listen                             4433 ssl;
189.         listen                             [::]:4433 ssl;
190.         server_name                        10.16.51.147;
192.         # SSL
193.         ssl_certificate                    /usr/local/nginx/ssl/server.crt;
194.         ssl_certificate_key                /usr/local/nginx/ssl/server.key;
195.             
196.         # deny access to .htaccess files, if Apache's document root
197.         # concurs with nginx's one
198.         #
199.         # . files
200.         location ~ /\.(?!well-known) {
201.             deny all;
202.         }
204.         # logging
205.         access_log logs/ncc2005.cxjk.com.access.log;
206.         error_log  logs/ncc2005.cxjk.com.error.log warn;
208.         # reverse proxy
209.         location / {
210.             proxy_pass                         http://10.16.51.147:2005;
211.             proxy_set_header Host              $http_host; # ncc必须设置
212.             proxy_http_version                 1.1; # 定义用于代理的HTTP协议版本，默认情况下将其设置为1.0。对于Websocket和 keepalive 连接，需要使用1.1版
214.             # Proxy SSL
215.             proxy_ssl_server_name              on;
217.             # Proxy headers
219.             proxy_set_header X-Real-IP         $remote_addr; # 将真实的访客远程IP地址转发到代理服务器
220.             proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for; # ncc必须设置（包含客户端被代理的每个服务器的IP地址的列表）
221.             proxy_set_header X-Forwarded-Host  $host; # 定义客户端请求的原始主机
222.             proxy_set_header X-Forwarded-Port  $server_port; # 定义客户端请求的原始端口
224.             # Proxy timeouts 超时设置不宜过短，否则类似导入数据这样的长业务场景会发生upstream time out错误
225.             proxy_connect_timeout              7200s;
226.             proxy_send_timeout                 7200s;
227.             proxy_read_timeout                 7200s;
229.             proxy_redirect http:// $scheme://; # ncc必须设置，否则轻量端访问异常（将后端响应header location内容中的http://替换成用户端协议https://）
231.             proxy_headers_hash_max_size 512;
232.             proxy_headers_hash_bucket_size 128;
233.         }
235.         # favicon.ico
236.         location = /favicon.ico {
237.             log_not_found off;
238.             access_log    off;
239.         }
241.         # robots.txt
242.         location = /robots.txt {
243.             log_not_found off;
244.             access_log    off;
245.         }
247.         #error_page  404              /404.html;
249.         # redirect server error pages to the static page /50x.html
250.         #
251.         error_page   500 502 503 504  /50x.html;
252.         location = /50x.html {
253.             root   html;
254.         }
256.         # gzip
257.         gzip            on;
258.         gzip_vary       on;
259.         gzip_proxied    any;
260.         gzip_comp_level 6;
261.         gzip_types      text/plain text/css text/xml application/json application/javascript application/rss+xml application/atom+xml image/svg+xml;
262.         gzip_min_length 10k;
263.         gzip_disable "MSIE [1-6]\.";
264.     }
266.     # HTTP redirect http转为https
267.     server {
268.         listen      80;
269.         listen      [::]:80;
270.         server_name 10.16.51.147;
271.         # 两种方式均可
272.         return      301 https://10.16.51.147$request_uri;
273.         # rewrite ^(.*) https://10.16.51.147$1 permanent;
274.     }
275. }

复制代码

3.2 NCC配置

完成Nginx配置后，轻量端就可以访问了。如果还需要使用UClient访问轻量端及重量端，则需要执行以下步骤：

• 安装补丁《patch_ncc2005_20221017_Uclient无法正确下载https应用问题_v1.1_liyas》
  

• 配置文件
  配置https应用，在以下文件中加入参数设置：scheme=https （该参数不为空时，优先使用该参数设置的协议，否则使用UClient传入的protocol）
  

轻量端https协议配置：ncchome\hotwebs\nccloud\WEB-INF\config\uclient_appconfig.properties
重量端https协议配置：ncchome\webapps\nc_web\Client\uclient_appconfig.properties

4 常见问题

4.1 浏览器无法访问应用

https://10.16.51.147/nccloud可以正常访问，而非443端口https://10.16.51.147:4433/nccloud无法访问，需要在Nginx中加入配置proxy_redirect http:// $scheme://;
4.2 UClient无法正常下载和访问轻量端及重量端的ncc应用

因为当前版本的UClient在搜索下载应用时，会将https协议变更为http，导致无法正确下载应用。该问题需要通过上述的补丁解决。
相关问题具体表现如下：
4.2.1 下载应用错误

• 搜索https://10.16.51.147，下载的重量端应用为http://host:80，点击无法方法应用。
  
• 搜索https://10.16.51.147，下载的轻量端应用为http://host:80/nccloud，点击无法访问
  
• 搜索https://10.16.51.147:4433，无法下载重量端，无法下载轻量端
  

4.2.2 80端口通过Nginx强转后无法在Uclient访问

通过https://10.16.51.147 下载的轻量端应用实际访问地址是http://host:80/nccloud，Nginx已经做了强转，但是点击应用后提示页面错误，无法访问URLhttps://10.16.51.147/nccloud,
再次点击该URL，则可正常进入系统。
该问题需要UClient修复。
4.2.3 手工修复本地app.esc的应用下载地址，安装应用后访问异常

手工修改轻量端应用的app.esc下载地址为https://10.16.51.147:4433/nccloud，安装轻量应用，点击应用访问地址栏访问的是http://10.16.51.147:4433/nccloud，页面提示400错误：The plain HTTP request was sent to HTTPS por。
问题现象及方案同问题1。
5 延伸阅读

NC-UClient下载安装应用详解

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！