代理协议与 Nginx 全解

代理（Proxy）是网络架构中最容易被混淆的概念之一。正向代理、反向代理、HTTP 代理、HTTPS 代理、SOCKS5 代理……名词虽多，但只要抓住三条主线，一切就清晰了：

本文将从概念本质出发，逐步拆解到 Nginx 的代理能力边界，最后给出主流正向代理容器镜像的硬核对比与可落地的部署配置。

一、正向代理 vs 反向代理

1.1 正向代理（Forward Proxy）

客户端 明确知道 要走代理，把请求”交给代理”，由代理代表客户端去访问目标服务器。

1
2

客户端 ──→ [正向代理] ──→ 目标服务器
（客户端配置代理地址）

常见协议形态：

• HTTP 正向代理 — 处理 GET / POST / CONNECT
• SOCKS 正向代理 — 更底层，转发任意 TCP/UDP

1.2 反向代理（Reverse Proxy）

客户端 以为 自己在连”真实服务器”，实际上前面挡了一层代理，由代理把请求转给背后的上游服务。

1
2

客户端 ──→ [反向代理] ──→ 上游服务器集群
（客户端以为代理就是目标）

1.3 面试一句话

二、HTTP / HTTPS / SOCKS5 代理

2.1 HTTP 代理（应用层 L7）

最常见的正向代理形态，代理协议本身就是 HTTP。

1
2

GET http://example.com/ HTTP/1.1
Host: example.com

1

CONNECT example.com:443 HTTP/1.1

适用： 企业内网出口（Squid）、让客户端统一走一个出口 IP

局限： 只能代理”支持代理语义”的流量；对 HTTPS 不破解 TLS 则看不到明文

2.2 HTTPS 代理（两种含义，别搞混）

1

浏览器 → [HTTPS加密] → 代理:8443 → CONNECT → 真正目标

2.3 SOCKS5 代理（传输层 L4-L5）

SOCKS5 是 套接字级别 的代理协议，不关心上层是什么协议。

1
2
3

① 客户端与 SOCKS5 握手/认证
② 告诉代理："帮我连 host:port"
③ 代理建立 TCP/UDP，之后就是透传

2.4 三种协议一图对比

三、Nginx 能做什么代理？

Nginx 是最流行的代理服务器之一，但它 不是万能的。先搞清楚边界，再谈部署。

3.1 能力边界一览

想部署"客户端出口上网"的正向代理？用 Squid / TinyProxy / Dante 等专用工具，不是 Nginx。

3.2 Nginx 代理能力总结表

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

http {
  upstream app {
    server 127.0.0.1:8080;
    # server 127.0.0.1:8081;  # 多后端负载均衡
  }

  server {
    listen 80;
    server_name example.com;

    location / {
      proxy_pass http://app;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;
    }
  }
}

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

http {
  upstream app {
    server 127.0.0.1:8080;
  }

  server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate     /etc/nginx/ssl/example.com/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/example.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers off;

    location / {
      proxy_pass http://app;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto https;
    }
  }

  # HTTP 自动跳转 HTTPS
  server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
  }
}

1
2

proxy_pass https://app;
proxy_ssl_verify off;  # 或配证书校验

1
2
3
4
5
6
7

# 注意：stream 与 http 平级，不在 http{} 内
stream {
  server {
    listen 3306;
    proxy_pass 10.0.0.20:3306;
  }
}

四、正向代理容器镜像选型

Nginx 做不了正向代理，那该用什么？下面对主流容器镜像做一次硬核横评。

4.1 各赛道选手速览

4.2 完整对比大表

4.3 场景化选型速查

五、部署实战

下面详细给出 TinyProxy（HTTP 正向代理） 和 go-socks5-proxy（SOCKS5 代理） 两个最常用镜像的完整部署教程。

5.1 vimagick/tinyproxy — HTTP 正向代理

TinyProxy 是最流行的轻量 HTTP 正向代理，内存仅 ~2MB，支持 CONNECT 隧道、BasicAuth 认证、IP ACL，对 http_proxy 环境变量非常友好。

第一步：创建目录和配置文件

1
2

mkdir -p ~/proxy/tinyproxy
cd ~/proxy/tinyproxy

编写 tinyproxy.conf：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

# ===== 基础配置 =====
Port 8888
Listen 0.0.0.0
Timeout 600

# ===== 访问控制（生产必配！）=====
Allow 127.0.0.1
Allow 192.168.0.0/16
Allow 10.0.0.0/8
# Allow 172.16.0.0/12

# ===== 可选：Basic 认证 =====
# BasicAuth myuser 'MyStr0ngP@ss'

# ===== 日志 =====
LogLevel Info
LogFile "/var/log/tinyproxy/tinyproxy.log"
LogFormat "%t %r %>s %b"

# ===== 性能 =====
MaxClients 100
MinSpareServers 5
MaxSpareServers 20
StartServers 10

# ===== 安全 =====
DisableViaHeader Yes    # 隐藏代理痕迹
ConnectPort 443         # CONNECT 只允许 443
ConnectPort 563         # 和 563 (NNTPS)

第二步：docker-compose.yml

1
2
3
4
5
6
7
8
9
10
11

version: '3.8'
services:
  tinyproxy:
    image: vimagick/tinyproxy:latest
    container_name: tinyproxy
    restart: unless-stopped
    ports:
      - "8888:8888"
    volumes:
      - ./tinyproxy.conf:/etc/tinyproxy/tinyproxy.conf:ro
      - ./logs:/var/log/tinyproxy

第三步：启动并测试

1
2
3
4
5
6
7
8
9
10
11

# 启动
docker compose up -d

# 查看日志确认运行正常
docker logs tinyproxy

# 测试 HTTP 代理
curl -v -x http://127.0.0.1:8888 http://httpbin.org/ip

# 测试 HTTPS 代理（CONNECT 隧道）
curl -v -x http://127.0.0.1:8888 https://httpbin.org/ip

正常返回示例：

1
2
3

{
  "origin": "你的代理服务器公网 IP"
}

第四步：客户端使用

1
2
3
4
5
6
7

export http_proxy=http://代理IP:8888
export https_proxy=http://代理IP:8888
export no_proxy=localhost,127.0.0.1

# 之后 apt/wget/curl/pip/npm 都走代理
wget https://example.com
pip install requests

1
2
3
4
5
6
7
8
9

# 其他容器的 docker-compose.yml
services:
  myapp:
    image: myapp:latest
    environment:
      - http_proxy=http://tinyproxy:8888
      - https_proxy=http://tinyproxy:8888
    networks:
      - proxy-net

5.2 serjs/go-socks5-proxy — SOCKS5 代理

go-socks5-proxy 是最轻量的 SOCKS5 代理，镜像仅 ~2MB（scratch + Go 静态二进制），通过环境变量即可配置认证和白名单，支持 amd64/arm64/armv7 多架构。

第一步：最简单 — 一行启动

1
2
3
4
5
6
7

docker run -d --name socks5 \
  -p 1080:1080 \
  -e PROXY_USER=myuser \
  -e PROXY_PASSWORD='Str0ng!@#' \
  -e ALLOWED_IPS=192.168.1.0/24,127.0.0.1 \
  --restart unless-stopped \
  serjs/go-socks5-proxy:latest

第二步（推荐）：docker-compose.yml

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

version: '3.8'
services:
  socks5:
    image: serjs/go-socks5-proxy:latest
    container_name: socks5
    restart: unless-stopped
    ports:
      - "1080:1080"
    environment:
      # 认证（强烈建议设置）
      PROXY_USER: myuser
      PROXY_PASSWORD: 'Str0ng!@#'
      # IP 白名单（逗号分隔）
      ALLOWED_IPS: 192.168.1.0/24,10.0.0.0/8
      # 可选：限制目标域名（正则）
      # ALLOWED_DEST_FQDN: '.*\.example\.com'

1

docker compose up -d

第三步：测试

1
2
3
4
5

# 测试 SOCKS5 代理
curl -v --socks5 myuser:'Str0ng!@#'@127.0.0.1:1080 https://httpbin.org/ip

# 测试无认证模式（不推荐）
# 设置 PROXY_USER 和 PROXY_PASSWORD 为空即可

第四步：客户端使用

1
2
3
4
5
6
7

# 方法一：ProxyCommand
ssh -o ProxyCommand="nc -x 代理IP:1080 -X 5 -P myuser %h %p" \
  user@target-server

# 方法二：SSH 配置文件 ~/.ssh/config
Host jump-*
  ProxyCommand nc -x 192.168.1.100:1080 -X 5 -P myuser %h %p

1
2
3
4
5
6

# Git 使用 SOCKS5 代理
git config --global http.proxy socks5://myuser:Str0ng\!@#@192.168.1.100:1080
git config --global https.proxy socks5://myuser:Str0ng\!@#@192.168.1.100:1080

# Python requests（需安装 pysocks）
pip install pysocks

1
2
3
4
5
6

import requests
proxies = {
  'http': 'socks5://myuser:Str0ng!@#@proxy:1080',
  'https': 'socks5://myuser:Str0ng!@#@proxy:1080'
}
requests.get('https://httpbin.org/ip', proxies=proxies)

5.3 环境变量速查

六、安全建议

参考链接