summary: [通过Nginx实现NCC的https访问,并解决UClient应用的问题]

1 概述

通过Nginx 安装配置反向代理,实现NC、NCC的https访问。

本文以NCC2005为例,说明如何配置Nginx、NCC,以及解决UClient无法访问https代理的问题。

其他版本的NC可以以此类推。

2 实现需求

NCC2005应用地址:http://10.16.51.147:2005

Nginx_1.22.0服务地址:10.16.51.147

最终实现代理访问:

https://10.16.51.147 -> http://10.16.51.147:2005

https://10.16.51.147:4433 -> http://10.16.51.147:2005

http://10.16.51.147 -> http://10.16.51.147:2005

3 解决方案

3.1 Nginx配置

nginx.conf文件配置如下:

# Generated by nginxconfig.io
# See nginxconfig.txt for the configuration share link user root;
pid /run/nginx.pid;
worker_processes auto;
worker_rlimit_nofile 65535; #error_log logs/error.log;
#error_log logs/error.log notice;
#error_log logs/error.log info; # Load modules
include /usr/local/nginx/conf/modules-enabled/*.conf; events {
multi_accept on;
worker_connections 65535;
} http {
charset utf-8;
sendfile on;
tcp_nopush on;
tcp_nodelay on;
server_tokens off;
log_not_found off;
types_hash_max_size 2048;
types_hash_bucket_size 64;
client_max_body_size 2048M; # MIME
include mime.types;
default_type application/octet-stream; # Logging
#log_format main '$remote_addr - $remote_user [$time_local] "$request" '
# '$status $body_bytes_sent "$http_referer" '
# '"$http_user_agent" "$http_x_forwarded_for"';
access_log logs/access.log;
error_log logs/error.log warn; # SSL
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off; # Diffie-Hellman parameter for DHE ciphersuites
# ssl_dhparam /usr/local/nginx/conf/dhparam.pem; # Mozilla Old configuration
ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA;
ssl_prefer_server_ciphers on; # OCSP Stapling
# ssl_stapling on;
# ssl_stapling_verify on;
# resolver 1.1.1.1 1.0.0.1 8.8.8.8 8.8.4.4 208.67.222.222 208.67.220.220 valid=60s;
# resolver_timeout 2s;
# ssl_trusted_certificate /usr/local/nginx/conf/ssl/ncc2005.cxjk.com.crt; # Connection header for WebSocket reverse proxy
# map $http_upgrade $connection_upgrade {
# default upgrade;
# "" close;
# } # map $remote_addr $proxy_forwarded_elem { # # IPv4 addresses can be sent as-is
# ~^[0-9.]+$ "for=$remote_addr"; # # IPv6 addresses need to be bracketed and quoted
# ~^[0-9A-Fa-f:.]+$ "for=\"[$remote_addr]\""; # # Unix domain socket names cannot be represented in RFC 7239 syntax
# default "for=unknown";
# } # map $http_forwarded $proxy_add_forwarded { # # If the incoming Forwarded header is syntactically valid, append to it
# "~^(,[ \\t]*)*([!#$%&'*+.^_`|~0-9A-Za-z-]+=([!#$%&'*+.^_`|~0-9A-Za-z-]+|\"([\\t \\x21\\x23-\\x5B\\x5D-\\x7E\\x80-\\xFF]|\\\\[\\t \\x21-\\x7E\\x80-\\xFF])*\"))?(;([!#$%&'*+.^_`|~0-9A-Za-z-]+=([!#$%&'*+.^_`|~0-9A-Za-z-]+|\"([\\t \\x21\\x23-\\x5B\\x5D-\\x7E\\x80-\\xFF]|\\\\[\\t \\x21-\\x7E\\x80-\\xFF])*\"))?)*([ \\t]*,([ \\t]*([!#$%&'*+.^_`|~0-9A-Za-z-]+=([!#$%&'*+.^_`|~0-9A-Za-z-]+|\"([\\t \\x21\\x23-\\x5B\\x5D-\\x7E\\x80-\\xFF]|\\\\[\\t \\x21-\\x7E\\x80-\\xFF])*\"))?(;([!#$%&'*+.^_`|~0-9A-Za-z-]+=([!#$%&'*+.^_`|~0-9A-Za-z-]+|\"([\\t \\x21\\x23-\\x5B\\x5D-\\x7E\\x80-\\xFF]|\\\\[\\t \\x21-\\x7E\\x80-\\xFF])*\"))?)*)?)*$" "$http_forwarded, $proxy_forwarded_elem"; # # Otherwise, replace it
# default "$proxy_forwarded_elem";
# } # Load configs
include /usr/local/nginx/conf/conf.d/*.conf; # ncc2005.cxjk.com
server {
listen 443 ssl;
listen [::]:443 ssl;
server_name 10.16.51.147; # SSL
ssl_certificate /usr/local/nginx/ssl/server.crt;
ssl_certificate_key /usr/local/nginx/ssl/server.key; # security headers
# add_header X-XSS-Protection "1; mode=block" always;
# add_header X-Content-Type-Options "nosniff" always;
# add_header Referrer-Policy "no-referrer-when-downgrade" always;
# add_header Content-Security-Policy "default-src 'self' http: https: ws: wss: data: blob: 'unsafe-inline'; frame-ancestors 'self';" always;
# add_header Permissions-Policy "interest-cohort=()" always; # deny access to .htaccess files, if Apache's document root
# concurs with nginx's one
#
# . files
location ~ /\.(?!well-known) {
deny all;
} # logging
access_log logs/ncc2005.cxjk.com.access.log;
error_log logs/ncc2005.cxjk.com.error.log warn; # reverse proxy
location / {
proxy_pass http://10.16.51.147:2005;
proxy_set_header Host $http_host; # ncc必须设置
proxy_http_version 1.1; # 定义用于代理的HTTP协议版本,默认情况下将其设置为1.0。对于Websocket和 keepalive 连接,需要使用1.1版 # proxy_cache_bypass $http_upgrade; # 设置不从缓存中获取响应的条件 # Proxy SSL
proxy_ssl_server_name on; # Proxy headers
# 如果应用程序使用Websockets,则这些Upgrade、Connection字段是必填字段
# proxy_set_header Upgrade $http_upgrade;
# proxy_set_header Connection $connection_upgrade;
proxy_set_header Connection "";
proxy_set_header X-Real-IP $remote_addr; # 将真实的访客远程IP地址转发到代理服务器
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # ncc必须设置(包含客户端被代理的每个服务器的IP地址的列表)
# proxy_set_header X-Forwarded-Proto $scheme; # ncc不可设置此参数(在HTTPS服务器块中使用时,来自代理服务器的每个HTTP响应都会重写为HTTPS)
proxy_set_header X-Forwarded-Host $host; # 定义客户端请求的原始主机
proxy_set_header X-Forwarded-Port $server_port; # 定义客户端请求的原始端口 # Proxy timeouts 超时设置不宜过短,否则类似导入数据这样的长业务场景会发生upstream time out错误
proxy_connect_timeout 7200s;
proxy_send_timeout 7200s;
proxy_read_timeout 7200s; proxy_redirect http:// $scheme://; # ncc必须设置,否则轻量端访问异常(将后端响应header location内容中的http://替换成用户端协议https://)。如果做了http强转https,且都是采用默认端口(80,443),则可不设置此参数,因为重定向后的http:80会转为https:443。 proxy_headers_hash_max_size 512;
proxy_headers_hash_bucket_size 128;
} # favicon.ico
location = /favicon.ico {
log_not_found off;
access_log off;
} # robots.txt
location = /robots.txt {
log_not_found off;
access_log off;
} #error_page 404 /404.html; # redirect server error pages to the static page /50x.html
#
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root html;
} # gzip
gzip on;
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_types text/plain text/css text/xml application/json application/javascript application/rss+xml application/atom+xml image/svg+xml;
gzip_min_length 10k;
gzip_disable "MSIE [1-6]\.";
} # 4433 端口
server {
listen 4433 ssl;
listen [::]:4433 ssl;
server_name 10.16.51.147; # SSL
ssl_certificate /usr/local/nginx/ssl/server.crt;
ssl_certificate_key /usr/local/nginx/ssl/server.key; # deny access to .htaccess files, if Apache's document root
# concurs with nginx's one
#
# . files
location ~ /\.(?!well-known) {
deny all;
} # logging
access_log logs/ncc2005.cxjk.com.access.log;
error_log logs/ncc2005.cxjk.com.error.log warn; # reverse proxy
location / {
proxy_pass http://10.16.51.147:2005;
proxy_set_header Host $http_host; # ncc必须设置
proxy_http_version 1.1; # 定义用于代理的HTTP协议版本,默认情况下将其设置为1.0。对于Websocket和 keepalive 连接,需要使用1.1版 # Proxy SSL
proxy_ssl_server_name on; # Proxy headers proxy_set_header X-Real-IP $remote_addr; # 将真实的访客远程IP地址转发到代理服务器
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # ncc必须设置(包含客户端被代理的每个服务器的IP地址的列表)
proxy_set_header X-Forwarded-Host $host; # 定义客户端请求的原始主机
proxy_set_header X-Forwarded-Port $server_port; # 定义客户端请求的原始端口 # Proxy timeouts 超时设置不宜过短,否则类似导入数据这样的长业务场景会发生upstream time out错误
proxy_connect_timeout 7200s;
proxy_send_timeout 7200s;
proxy_read_timeout 7200s; proxy_redirect http:// $scheme://; # ncc必须设置,否则轻量端访问异常(将后端响应header location内容中的http://替换成用户端协议https://) proxy_headers_hash_max_size 512;
proxy_headers_hash_bucket_size 128;
} # favicon.ico
location = /favicon.ico {
log_not_found off;
access_log off;
} # robots.txt
location = /robots.txt {
log_not_found off;
access_log off;
} #error_page 404 /404.html; # redirect server error pages to the static page /50x.html
#
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root html;
} # gzip
gzip on;
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_types text/plain text/css text/xml application/json application/javascript application/rss+xml application/atom+xml image/svg+xml;
gzip_min_length 10k;
gzip_disable "MSIE [1-6]\.";
} # HTTP redirect http转为https
server {
listen 80;
listen [::]:80;
server_name 10.16.51.147;
# 两种方式均可
return 301 https://10.16.51.147$request_uri;
# rewrite ^(.*) https://10.16.51.147$1 permanent;
}
}

3.2 NCC配置

完成Nginx配置后,轻量端就可以访问了。如果还需要使用UClient访问轻量端及重量端,则需要执行以下步骤:

  1. 安装补丁《patch_ncc2005_20221017_Uclient无法正确下载https应用问题_v1.1_liyas》

  1. 配置文件

    配置https应用,在以下文件中加入参数设置:scheme=https (该参数不为空时,优先使用该参数设置的协议,否则使用UClient传入的protocol)

轻量端https协议配置:ncchome\hotwebs\nccloud\WEB-INF\config\uclient_appconfig.properties

重量端https协议配置:ncchome\webapps\nc_web\Client\uclient_appconfig.properties

4 常见问题

4.1 浏览器无法访问应用

https://10.16.51.147/nccloud可以正常访问,而非443端口https://10.16.51.147:4433/nccloud无法访问,需要在Nginx中加入配置proxy_redirect http:// $scheme://;

4.2 UClient无法正常下载和访问轻量端及重量端的ncc应用

因为当前版本的UClient在搜索下载应用时,会将https协议变更为http,导致无法正确下载应用。该问题需要通过上述的补丁解决。


相关问题具体表现如下:

4.2.1 下载应用错误

  1. 搜索https://10.16.51.147,下载的重量端应用为http://host:80,点击无法方法应用。

  2. 搜索https://10.16.51.147,下载的轻量端应用为http://host:80/nccloud,点击无法访问

  3. 搜索https://10.16.51.147:4433,无法下载重量端,无法下载轻量端

4.2.2 80端口通过Nginx强转后无法在Uclient访问

通过https://10.16.51.147 下载的轻量端应用实际访问地址是http://host:80/nccloud,Nginx已经做了强转,但是点击应用后提示页面错误,无法访问URLhttps://10.16.51.147/nccloud,

再次点击该URL,则可正常进入系统。

该问题需要UClient修复。

4.2.3 手工修复本地app.esc的应用下载地址,安装应用后访问异常

手工修改轻量端应用的app.esc下载地址为https://10.16.51.147:4433/nccloud,安装轻量应用,点击应用访问地址栏访问的是http://10.16.51.147:4433/nccloud,页面提示400错误:The plain HTTP request was sent to HTTPS por。

问题现象及方案同问题1。


5 延伸阅读

NC-UClient下载安装应用详解

NC 使用Nginx实现https的反向代理的更多相关文章

  1. nginx通过https方式反向代理多实例tomcat

    案例说明:前面一层nginx+Keepalived部署的LB,后端两台web服务器部署了多实例的tomcat,通过https方式部署nginx反向代理tomcat请求.配置一如下: 1)LB层的ngi ...

  2. Nginx插件之openresty反向代理和日志滚动配置案例

    Nginx插件之openresty反向代理和日志滚动配置案例 作者:尹正杰 版权声明:原创作品,谢绝转载!否则将追究法律责任. 一.openresty介绍 1>.Nginx介绍 Nginx是一款 ...

  3. 【架构师之路】Nginx负载均衡与反向代理—《亿级流量网站架构核心技术》

    本篇摘自<亿级流量网站架构核心技术>第二章 Nginx负载均衡与反向代理 部分内容. 当我们的应用单实例不能支撑用户请求时,此时就需要扩容,从一台服务器扩容到两台.几十台.几百台.然而,用 ...

  4. Nginx应用-Location路由反向代理及重写策略 请求转发-URL匹配规则 NGINX Reverse Proxy

    NGINX Docs | NGINX Reverse Proxy https://docs.nginx.com/nginx/admin-guide/web-server/reverse-proxy/ ...

  5. nginx基于TCP的反向代理

    一.4层的负载均衡 Nginx Plus的商业授权版开始具有TCP负载均衡的功能.从Nginx 1.7.7版本开始加入的,现在变成了一个商业收费版本,想要试用,需要在官网申请.也就是说,Nginx除了 ...

  6. Nginx总结(五)如何配置nginx和tomcat实现反向代理

    前面讲了如何配置Nginx虚拟主机,大家可以去这里看看nginx系列文章:https://www.cnblogs.com/zhangweizhong/category/1529997.html 今天要 ...

  7. 通过Nginx+tomcat+redis实现反向代理 、负载均衡及session同步

    一直对于负载均衡比较陌生,今天尝试着去了解了一下,并做了一个小的实验,对于这个概念有一些认识,在此做一个简单的总结 什么是负载均衡 负载均衡,英文 名称为Load Balance,指由多台服务器以对称 ...

  8. nginx和tomcat实现反向代理、负载均衡和session共享

    这类的文章很多,nginx和tomcat实现反向代理.负载均衡实现很容易,可以参照http://blog.csdn.net/liuzhigang1237/article/details/8880752 ...

  9. Nginx的安装及反向代理设置

    因为项目的缘故,接触到了Nginx的安装和反向代理设置,和大家分享下. 一.Nginx的下载.安装cd /homewget http://nginx.org/download/nginx-1.0.5. ...

随机推荐

  1. Centroids (换根DP)

    题面 题解 删一条边.加一条边,相当于把一个子树折下来,然后嫁接在一个点上, 那么最优的情况肯定是接在根上,对吧,很好理解吧 那么这个拆下来的子树大小就不能超过n/2. 我们用son[]来表示每个点为 ...

  2. QtCreator使用AStyle配置VS默认编辑代码风格

    基础配置和下载 基础配置和下载,随便找一个教程就行 下面贴出我的配置 --style=allman indent=spaces=4 indent-switches indent-preproc-blo ...

  3. APICloud 可视化编程 - 拖拉拽实现专业级源码

    低代码开发平台是无需编码 (0 代码或⽆代码) 或通过少量代码就可以快速生成应用程序的开发平台.它的强⼤之处在于,允许终端⽤户使⽤易于理解的可视化⼯具开发自己的应用程序,而不是传统的编写代码⽅式.当遇 ...

  4. rtmp/rtsp/hls公网测试地址

    相信大家在调试播放器的时候,都有这样的困惑,很难找到合适的公有测试源,以下是大牛直播整理的真正可用的直播地址源. 其中,rtmp和rtsp的url,用https://github.com/daniul ...

  5. 【PMP学习笔记】第5章 项目范围管理

    一.规范管理的内涵 项目范围管理:包括确保项目做且只做所需的全部工作,以成功完成项目的各个过程. 项目范围:为交付具有规定特性与功能的产品.服务或成果而必须完成的工作. 预测型:开始时定义可交付成果, ...

  6. Taurus.MVC-Java 版本打包上传到Maven中央仓库(详细过程):4、Maven项目转换与pom.xml配置

    文章目录: Taurus.MVC-Java 版本打包上传到Maven中央仓库(详细过程):1.JIRA账号注册 Taurus.MVC-Java 版本打包上传到Maven中央仓库(详细过程):2.PGP ...

  7. Hive的基本知识与操作

    Hive的基本知识与操作 目录 Hive的基本知识与操作 Hive的基本概念 为什么使用Hive? Hive的特点: Hive的优缺点: Hive应用场景 Hive架构 Client Metastor ...

  8. 微软出品自动化神器Playwright,不用写一行代码(Playwright+Java)系列(一) 之 环境搭建及脚本录制

    一.前言 半年前,偶然在视频号刷到某机构正在直播讲解Playwright框架的使用,就看了一会,感觉还不错,便被种草,就想着自己有时间也可以自己学一下,这一想着就半年多过去了. 读到这,你可能就去百度 ...

  9. Java 多线程:锁(三)

    Java 多线程:锁(三) 作者:Grey 原文地址: 博客园:Java 多线程:锁(三) CSDN:Java 多线程:锁(三) StampedLock StampedLock其实是对读写锁的一种改进 ...

  10. haodoop新特性

    Hadoop2.x新特性 scp实现两个远程主机之间的文件复制 scp -r hello.txt root@hadoop103:/user/atguigu/hello.txt // 推 push sc ...