Nginx官方文档(四十三)【ngx_mail_proxy_module|ngx_mail_ssl_module】

nginx邮件模块指令及SSL配置详解
最新推荐文章于 2025-02-10 15:42:15 发布
转载 最新推荐文章于 2025-02-10 15:42:15 发布 · 1k 阅读 · 1 ·
CC 4.0 BY-SA版权
原文链接：https://blog.youkuaiyun.com/WuLex

本文详细介绍了 ngx_mail_proxy_module 和 ngx_mail_ssl_module 模块。前者包含 proxy_buffer、proxy_pass_error_message 等指令，说明了各指令功能；后者可让邮件代理服务器支持 SSL/TLS 协议，介绍了示例配置及 ssl、ssl_certificate 等指令的使用和注意事项。

ngx_mail_proxy_module

指令

proxy_buffer

-说明
语法proxy_buffer size;
默认proxy_buffer 4k|8k
上下文mail、server

设置用于代理的缓冲区的大小。默认情况下，缓冲区大小等于一个内存页。根据平台的不同，它可以是 4K 或 8K。

proxy_pass_error_message

-说明
语法proxy_pass_error_message on | off;
默认proxy_pass_error_message off;
上下文mail、server

指示是否将后端身份验证期间获得的错误消息传递给客户端。

通常，如果 nginx 中的身份验证成功，则后端无法返回错误。如果仍然返回错误，则表示发生了一些内部错误。在这种情况下，后端消息可能包含不应显示给客户端的信息。但是，对于某些 POP3 服务器，响应一个密码错误信息是正常现象。例如，CommuniGatePro 通过定期输出身份验证错误来通知用户邮箱溢出或其他事件。在这种情况下，应启用该指令。

proxy_timeout

-说明
语法proxy_timeout timeout;
默认proxy_timeout 24h;
上下文mail、server

设置客户端或代理服务器连接上两次连续的读取或写入操作之间的超时（timeout）。如果在此时间内没有数据传输，则连接将关闭。

xclient

-说明
语法xclient on | off;
默认xclient on;
上下文mail、server

连接到 SMTP 后端时，启用或禁用 XCLIENT 命令与客户端参数的传递。

借助 XCLIENT，MTA 能够将客户端信息写入日志并基于此数据应用各种限制。

如果启用了 XCLIENT，则 nginx 在连接到后端时会传递以下命令：

如果客户端 IP 地址找到的名称指向相同的地址，则会在 XCLIENT 命令的 NAME 参数中传递该名称。如果找不到名称、指向其他地址或未指定解析器，则在 NAME 参数中传递 [UNAVAILABLE]。如果在解析过程中发生错误，则使用 [TEMPUNAVAIL] 值。

如果禁用了 XCLIENT，则如果客户端已通过 EHLO，则 nginx 在连接到后端时将使用服务器名称传递 EHLO 命令；否则，使用服务器名称传递 HELO。

原文档

ngx_mail_ssl_module

ngx_mail_ssl_module 模块可让邮件代理服务器支持 SSL/TLS 协议。

默认情况下不构建此模块，可在构建时使用 --with-mail_ssl_module 配置参数启用它。

该模块依赖 OpenSSL 库。

示例配置

为了减轻处理器负载，建议：

worker_processes auto;

mail {

    ...

    server {
        listen              993 ssl;

        ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers         AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5;
        ssl_certificate     /usr/local/nginx/conf/cert.pem;
        ssl_certificate_key /usr/local/nginx/conf/cert.key;
        ssl_session_cache   shared:SSL:10m;
        ssl_session_timeout 10m;

        ...
    }

指令

ssl

-说明
语法ssl on | off;
默认ssl off;
上下文mail、server

该指令在 1.15.0 版本中已废弃，请改用 listen 指令的 ssl 参数。

ssl_certificate

-说明
语法ssl_certificate file;
默认——
上下文mail、server

为给定服务器指定一个 PEM 格式的证书文件（file）。如果除主证书之外还要指定中间证书，则应在同一文件中按以下顺序指定它们：首先是主证书，然后是中间证书。PEM 格式的密钥可以放在同一文件中。

从 1.11.0 版开始，可以多次声明该指令来加载不同类型的证书，例如 RSA 和 ECDSA：

server {
    listen              993 ssl;

    ssl_certificate     example.com.rsa.crt;
    ssl_certificate_key example.com.rsa.key;

    ssl_certificate     example.com.ecdsa.crt;
    ssl_certificate_key example.com.ecdsa.key;

    ...
}

仅 OpenSSL 1.0.2 或更高版本支持不同证书的独立证书链。对于较旧的版本，只能使用一个证书链。

可以指定 data:certificate 值来代替 file（1.15.10），无需使用文件即可加载证书。请注意，错误使用此语法可能会带来安全隐患，例如将密钥数据写入错误日志。

ssl_certificate_key

-说明
语法ssl_certificate_key file;
默认——
上下文mail、server

给服务器指定一个 PEM 格式的密钥文件（file）。

可以指定 engine:name:id 来代替 file（1.7.9），Nginx 将从名称为 name 的 OpenSSL 引擎中中加载 id 为 id 的密钥。

可以指定 data:key 值来代替 file（1.15.10），无需使用文件就可以加载密钥。请注意，错误使用此语法可能会带来安全隐患，例如将密钥数据写入错误日志。

ssl_ciphers

-说明
语法ssl_ciphers ciphers
默认ssl_ciphers HIGH:!aNULL:!MD5;
上下文mail、server

指定启用的加密算法。仅可指定 OpenSSL 库支持的算法，例如：

ssl_ciphers ALL:!aNULL:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;

可以使用 openssl ciphers 命令查看完整列表。

默认情况下，早期版本的 nginx 使用了不同的加密算法。

ssl_client_certificate

-说明
语法ssl_client_certificate file;
默认——
上下文mail、server
提示该指令在 1.7.11 版本中出现

指定一个 PEM 格式的受信任 CA 证书文件，用于验证客户端证书。

证书列表将发送给客户端。如果不希望这样做，则可以使用 ssl_trusted_certificate 指令配置。

ssl_crl

-说明
语法ssl_crl file;
默认——
上下文mail、server
提示该指令在 1.7.11 版本中出现

指定一个 PEM 格式的吊销证书（CRL）文件，用于验证客户端证书。

ssl_dhparam

-说明
语法ssl_dhparam file;
默认——
上下文mail、server
提示该指令在 0.7.2 版本中出现

指定一个带有 DHE 密码的 DH 参数的文件（file）。

默认情况下，不设置任何参数，因此不使用 DHE 密码。

在 1.11.0 版之前，默认情况下使用内置参数。

ssl_ecdh_curve

-说明
语法ssl_ecdh_curve curve;
默认ssl_ecdh_curve auto;
上下文mail、server
提示该指令在 1.1.0 和 1.0.6 版本中出现

为 ECDHE 算法指定一个椭圆曲线方案（curve）。

使用 OpenSSL 1.0.2 或更高版本时，可以指定多个曲线（1.11.0），例如：

ssl_ecdh_curve prime256v1:secp384r1;

当使用 OpenSSL 1.0.2 或更高版本或带有较旧版本的 prime256v1 时，特殊值 auto（1.11.0）指示 nginx 使用内置在 OpenSSL 库中的列表。

在 1.11.0 版之前，默认使用 prime256v1 曲线。

ssl_password_file

-说明
语法ssl_password_file file;
默认——
上下文mail、server
提示该指令在 1.7.3 版本中出现

指定一个保存有密钥密码的文件，每个密码独占一行。 加载密钥时依次尝试使用这些密码。

例：

mail {
    ssl_password_file /etc/keys/global.pass;
    ...

    server {
        server_name mail1.example.com;
        ssl_certificate_key /etc/keys/first.key;
    }

    server {
        server_name mail2.example.com;

        # named pipe can also be used instead of a file
        ssl_password_file /etc/keys/fifo;
        ssl_certificate_key /etc/keys/second.key;
    }
}

ssl_prefer_server_ciphers

-说明
语法ssl_prefer_server_ciphers on | off;
默认ssl_prefer_server_ciphers off;
上下文mail、server

指定当使用 SSLv3 和 TLS 协议时，服务器加密算法应优先于客户端加密算法。

ssl_protocols

-说明
语法ssl [SSLv2] [SSLv3] [TLSv1] [TLSv1.1] [TLSv1.2] [TLSv1.3];
默认sssl_protocols TLSv1 TLSv1.1 TLSv1.2;
上下文mail、server

启用指定的协议。

TLSv1.1 和 TLSv1.2 参数（1.1.13、1.0.12）仅在使用 OpenSSL 1.0.1 或更高版本时有效。

TLSv1.3 参数（1.13.0）仅在 OpenSSL 1.1.1 构建时使用了 TLSv1.3 支持有效。

ssl_session_cache

-说明
语法ssl_session_cache on | none | [builtin[:size]] [shared:name:size];
默认ssl_session_cache none;
上下文mail、server

设置存储会话参数的缓存的类型和大小。缓存可以是以下任何类型：

  • off

    严格禁止使用会话缓存：nginx 明确告知客户端禁止重复使用会话。

  • none

    禁止使用会话缓存：nginx 告诉客户端会话可以重用，但实际上并没有在缓存中存储会话参数。

  • builtin

    内置的 OpenSSL 缓存，仅由一个 worker 进程使用。缓存大小在会话中指定。如果未指定大小，则默认为 20480 个会话。使用内置缓存可能导致内存碎片。

  • shared

    所有 worker 进程之间共享的缓存。缓存大小以字节为单位，一兆字节可以存储大约 4000 个会话。每个共享缓存都有一个任意的名称。相同名称的缓存可以在多个服务器中使用。

两种缓存类型可以同时使用，例如：

ssl_session_cache builtin:1000 shared:SSL:10m;

但仅使用共享缓存而不使用内置缓存，效率会更高。

ssl_session_ticket_key

-说明
语法ssl_session_ticket_key file;
默认——
上下文mail、server
提示该指令在 1.5.7 版本中出现

设置一个带有用于加密和解密 TLS 会话票证的密钥文件。如果必须在多个服务器之间共享同一密钥，则该指令是必需的。默认情况下，使用随机生成的密钥。

如果指定了多个密钥，仅第一个密钥被用于加密 TLS 会话票证。可配置 key 轮转，例如：

ssl_session_ticket_key current.key;
ssl_session_ticket_key previous.key;

该文件（file）必须包含 80 或 48 个字节的随机数据，可以使用以下命令创建：

openssl rand 80> ticket.key

根据文件大小，使用 AES256（针对 80 字节的 key，1.11.8）或 AES128（针对 48 字节的 key）进行加密。

ssl_session_tickets

-说明
语法ssl_session_tickets on | off;
默认ssl_session_tickets on;
上下文mail、server
提示该指令在 1.5.9 版本中出现

通过 TLS 会话票证启用或禁用会话复用。

ssl_session_timeout

-说明
语法ssl_session_timeout time;
默认ssl_session_timeout 5m;
上下文mail、server

指定客户端可以重用会话参数的时间。

ssl_trusted_certificate

-说明
语法ssl_trusted_certificate file;
默认——
上下文mail、server
提示该指令在 1.7.11 版本中出现

指定一个带有用于验证客户端证书的 PEM 格式的受信任 CA 证书文件。

与 ssl_client_certificate 设置的证书相反，这些证书的列表不会发送给客户端。

ssl_verify_client

-说明
语法ssl_verify_client on | none | optional | optional_no_ca;
默认ssl_verify_client off;
上下文mail、server
提示该指令在 1.7.11 版本中出现

启用客户端证书的验证。验证结果在身份验证请求的 Auth-SSL-Verify 头中传递。

optional 参数请求客户端证书并验证该证书是否存在。

optional_no_ca 参数请求客户端证书，但不需要由受信任的 CA 证书对其进行签名，适合在 nginx 外部的服务执行实际证书验证的情况下使用。通过发送到身份验证服务器的请求可以访问证书的内容。

ssl_verify_depth

-说明
语法ssl_verify_depth number;
默认ssl_verify_depth 1;
上下文mail、server
提示该指令在 1.7.11 版本中出现

设置客户端证书链的验证深度。

starttls

-说明
语法starttls on | off | only;
默认starttls off;
上下文mail、server

  • on

    允许对 POP3 使用 STLS 命令，对 IMAP 和 SMTP 使用 STARTTLS 命令

  • off

    拒绝使用 STLS 和 STARTTLS 命令

  • only

    要求初步的 TLS 转换

原文档

【nginx】ngx_http_proxy_connect_module 正向代理
突围
09-14 1264
nginx 正向代理
Nginx配置 ngx_http_proxy_connect_module 模块及安装
huazhixuthink的专栏
02-08 1782
rw-r--r-- 1 root root 1062124 11月 16 2021 nginx-1.20.2.tar.gz。-rw-r--r-- 1 1001 1001 312251 11月 16 2021 CHANGES。-rw-r--r-- 1 1001 1001 1397 11月 16 2021 LICENSE。-rw-r--r-- 1 1001 1001 49 11月 16 2021 README。
nginx配置mail代理
低调说
11-17 2177
mail { auth_http 127.0.0.1:9091; auth_http_header Auth-Channel "free"; auth_http_header Auth-SMTP-Host "172.25.16.55"; auth_http_header Auth-SMTP-Port "26"; ssl_certificate /etc/nginx/ssl/full_chain_rsa.crt; ssl_certificate_key /etc/ng
Nginx邮件代理
weixin_33749131的博客
08-21 275
Nginx搭建邮件代理服务器 A.搭建主服务器 #tar-cxvfturbomail_linux_500.tgz-C/##安装并启动turbomail #yum-yinstallhttpdphp##安装php、apache服...
Nginx官方文档(四十四)【ngx_mail_imap_module|ngx_mail_pop3_module|ngx_mail_smtp_module】
极客神殿
09-24 605
ngx_mail_imap_module 示例配置 指令 imap_auth imap_capabilities imap_client_buffer 指令 imap_auth - 说明 语法 imap_auth method ...; 默认 imap_auth plain; 上下文 mail、server 为 IMAP 客户端设置允许的认证方法。支持的方法有： login AUTH=LOGIN plain AUTH=PLAIN cram-md5 AUTH
Nginx官方文档(四十二)【ngx_mail_core_module|ngx_mail_auth_http_module】
极客神殿
09-24 1013
ngx_mail_core_module 示例配置 指令 listen mail protocol resolver resolver_timeout server server_name timeout 默认不构建此模块，可使用 --with-mail 配置参数启用。 示例配置 worker_processes 1; error_log /var/log/nginx/error.log info; events { worker_connections 1024; } mail
《深入理解Nginx》笔记之 ngx_mail相关结构体
猫和鱼爪的鸟窝
08-26 1445
Nginx mail相关模块结构体ngx_mail_module_t      这是mail模块的抽象接口，即ngx_module_t中的ctx成员所指向的mail模块特有接口。每一个mail模块都会实现自己的ngx_mail_module_t结构体。 typedef struct { // POP3 STMP IMAP邮件模块提取出的通用接口 ngx_mail_protocol
精选资源
ngx_http_proxy_connect_module.zip
06-17
ngx_http_proxy_connect_module是一个针对Nginx服务器的第三方模块，主要功能是支持HTTP代理的"CONNECT"方法。在默认情况下，Nginx仅处理HTTP和HTTPS请求，但不支持通过HTTP代理进行TCP连接，比如SSL/TLS隧道。这个...
使用nginx作为http/https正向代理ipm包，包含ngx_http_proxy_connect_module 模块，第三方图片代理，带有缓存
08-13
使用nginx作为http/https正向代理ipm包，包含ngx_http_proxy_connect_module 模块，附带了第三方图片代理配置，带有缓存，可直接做图片服务器 下载后执行：rpm -ivh nginx-1.12.2-1.el7_4.ngx.x86_64.rpm 打包教程：...
ngx_http_proxy_connect_module-master (2).zip
12-30
用于nginx的http正向代理https使用的模块
Nginx是一款轻量级的Web 服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器
08-30
Nginx是一款轻量级的Web 服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器，并在一个BSD-like 协议下发行。其特点是占有内存少，并发能力强，事实上nginx的并发能力确实在同类型的网页服务器中表现较好，中国大陆使用nginx网站用户有：百度、京东、新浪、网易、腾讯、淘宝等
使用Nginx做邮件代理服务器配置
nauwzj的专栏
06-24 8629
在nginx.conf的文件末尾加入mail的配置： [sql] view plaincopy #user  nobody;   worker_processes  1;      #error_log  logs/error.log;   #error_log  logs/error.log  notice;   #err
nginx ngx_mail_module 指令详解
as34233的博客
02-10 666
nginx mail module 指令详解
mail nginx java,nginx做mail proxy 的时候，把消息proxy到哪里去了
weixin_36255837的博客
03-16 332
最近研究nginx代码, 以mail模块入手, 但是从配置看, 一直看不出来nginx把消息proxy到哪里去了.今天研究了半天, 才搞这个事情搞清楚. 之前在网上也没有找到类似的说明, 包括官方的文档也没有说明.mail模块有一个ngx_mail_auth_http_module.c模块, 其中有一个配置命令auth_http,nginx通过向此配置发送一个http请求,以获取得后端mail s...
nginx做mail proxy 的时候，把消息proxy到哪里去了
weixin_33814685的博客
11-28 516
为什么80%的码农都做不了架构师？>>> ...
nginx源码分析（15）-模块分析（1）
啃饼的技术博客
10-28 5695
nginx的内部实现上用四个模块上下文结构把所有模块从实现上分开为四种，不同的模块上下文支持不同的模块钩子。如果抛开实现方式，仅仅从功能逻辑上来区分，大致可以把所有模块分为三类，第一类是nginx的内核模块；第二类是http模块；第三类是mail模块。内核模块包含核心类模块、event类模块和没有模块上下文结构的conf模块；http模块是所有的http类模块；mail模块是所有的mail
linux 已安装的 nginx 新增模块（以mail模块为例）
最黑的小白的博客
05-08 2415
前提：linux系统+nginx+mail模块 第一步：查看当前已经安装的nginx版本信息以及已经安装的模块并记住（后面会用到） 命令： nginx -V 结果： 注意：nginx 命令提示not found则需要以下命令： ln -s /usr/local/nginx/sbin/nginx /sbin/nginx 第二步：下载与上面版本一致的nginx源码 地址：htt...
Nginx代理smtp、pop等邮件服务
weixin_30703911的博客
08-25 4486
转载 http://blog.liuker.cn/index.php/nginx/35.html 环境需要： 1、需要一台nginx做mail的反向代理 2、需要一台做认证的php环境 3、一台测试客户机（测试邮件发送采用sendEmail） 整个流程： 客户机发邮件---->nginx---->认证---->发送邮件 一、部署nginx 这里基本就一...
已经安装过nginx，如何安装ngx_http_proxy_connect_module
最新发布
03-19
<think>好的，我需要帮助用户了解如何在已经安装的Nginx上安装ngx_http_proxy_connect_module模块。这个模块主要用于支持CONNECT方法，通常用于正向代理HTTPS请求。用户可能已经通过包管理器或者源码安装了Nginx，但现在需要添加第三方模块，这通常需要重新编译Nginx。 首先，我应该确认用户当前的Nginx版本和安装方式。但用户可能不知道这些细节，所以需要给出通用的步骤。通常，如果用户是通过源码安装的，那么重新编译添加模块比较直接。如果是通过包管理器安装的，可能需要从源码重新构建并替换现有的二进制文件。 接下来，步骤大致分为：下载模块源码，获取当前Nginx的配置参数，添加新模块到配置中，重新编译，然后替换旧的Nginx二进制文件，最后重启服务。需要注意备份和替换过程中的服务停止，避免中断。 用户可能需要知道如何获取当前的configure参数，可以使用nginx -V命令。然后，在重新配置时，添加--add-module=/path/to/module。但有些模块可能需要使用--add-dynamic-module，不过这个模块可能需要静态编译，所以需要查阅文档确认。 另外，编译时可能会遇到依赖问题，比如缺少PCRE或OpenSSL开发包，需要提醒用户安装这些依赖。还有，处理完成后，需要更新Nginx配置，添加相应的指令，比如proxy_connect，并测试配置是否有效。 需要注意权限问题，确保用户有权限替换Nginx二进制文件，可能需要使用sudo。此外，如果用户使用的是systemd，重启服务可能需要systemctl命令。最后，测试模块是否加载成功，可以通过nginx -V查看编译参数，或者检查错误日志。 可能的错误点包括：configure参数不正确，模块路径错误，依赖未安装，编译失败等。需要提示用户如何处理这些问题，比如检查错误信息，安装依赖，确保模块路径正确等。 总结步骤： 1. 下载模块源码 2. 获取当前Nginx的configure参数 3. 进入Nginx源码目录，使用configure命令添加模块 4. 编译并替换旧二进制 5. 修改Nginx配置，启用模块功能 6. 测试并重启服务 需要详细写出每个步骤的具体命令，并提醒用户备份和注意事项。</think>安装 `ngx_http_proxy_connect_module` 需要重新编译 Nginx，因为它是第三方模块。以下是分步指南： --- ### 1. **确认当前 Nginx 版本和配置参数** ```bash nginx -V ``` 记录输出中的 `configure arguments` 和 `nginx version`。 --- ### 2. **下载 Nginx 源码和模块** - 下载与当前版本一致的 Nginx 源码包（如 `nginx-1.25.3`）： ```bash wget http://nginx.org/download/nginx-{版本号}.tar.gz tar -zxvf nginx-{版本号}.tar.gz ``` - 下载模块源码： ```bash git clone https://github.com/chobits/ngx_http_proxy_connect_module ``` --- ### 3. **打补丁（仅限 Nginx 1.19.7 及以下版本）** 如果 Nginx 版本 ≤ 1.19.7，需应用补丁： ```bash cd nginx-{版本号} patch -p1 < /path/to/ngx_http_proxy_connect_module/patch/proxy_connect_rewrite_1018.patch ``` --- ### 4. **重新配置和编译** - 进入 Nginx 源码目录，使用原配置参数添加模块： ```bash ./configure {原配置参数} --add-module=/path/to/ngx_http_proxy_connect_module ``` - 编译（不安装）： ```bash make ``` --- ### 5. **替换 Nginx 二进制文件** - 备份旧二进制： ```bash cp /usr/sbin/nginx /usr/sbin/nginx.bak ``` - 替换新二进制： ```bash cp objs/nginx /usr/sbin/nginx ``` --- ### 6. **配置 Nginx 启用模块** 在 `nginx.conf` 的 `server` 块中添加： ```nginx server { listen 443; proxy_connect; proxy_connect_allow 443; proxy_connect_connect_timeout 10s; proxy_connect_read_timeout 10s; proxy_connect_send_timeout 10s; } ``` --- ### 7. **测试并重启服务** ```bash nginx -t # 测试配置 systemctl restart nginx # 重启服务 ``` --- ### 常见问题处理 - **依赖缺失**：确保已安装 `gcc`、`make`、`libpcre3-dev`、`zlib1g-dev`、`libssl-dev`。 - **版本不兼容**：模块可能不支持最新 Nginx 版本，需检查[官方文档](https://github.com/chobits/ngx_http_proxy_connect_module)。 - **动态模块加载**（可选）：若需动态加载，使用 `--add-dynamic-module` 并加载 `.so` 文件。 --- 完成以上步骤后，Nginx 即可支持 `CONNECT` 方法代理 HTTPS 请求。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值