Nginx HTTPS代理后端遇到peer closed connection错误怎么办？

本文共计725个文字，预计阅读时间需要3分钟。

这个错误本质上是Nginx在配置HTTPS时遇到的问题。具体原因可能是SSL证书配置错误、文件路径错误或权限问题等。建议检查以下方面：

检查后端服务是否真实可达且正常运行

这是最基础也最容易被跳过的一步。报错里出现 Connection reset by peer 或 Connection refused，很可能是后端根本没起来，或者监听地址写错了。

• 用 curl -Iv https://后端域名或IP:端口 直连测试，确认能完成 TLS 握手并返回 HTTP 响应
• 特别注意：如果后端在容器或内网，避免把 127.0.0.1 写进 proxy_pass —— Nginx 进程看到的是它自己的 localhost，不是容器或宿主机的
• 检查后端服务日志，确认没有启动失败、证书加载异常或监听端口被占用等情况

启用 SNI 支持：必须加 proxy_ssl_server_name on

当后端是共享 IP 的多租户环境（比如云上一个公网 IP 挂多个 HTTPS 域名），Nginx 默认只发 IP 地址，不带 Host 名，后端无法判断该路由到哪个证书或站点，就会直接断连。

• 在对应 location 块中加入：proxy_ssl_server_name on;
• 同时确保 proxy_pass 使用的是域名（如 https://api.example.com），而不是纯 IP
• 这个配置从 Nginx 1.7.0 起支持，老版本（如 1.4.x）需先升级

禁用 SSL 会话复用：设 proxy_ssl_session_reuse off

某些后端（尤其是自建或老旧服务）对 TLS session resumption 支持不完整，Nginx 复用前一次握手参数会导致协议/密钥套件不匹配，第二次请求就握手失败。

• 在 location 或 upstream 块中添加：proxy_ssl_session_reuse off;
• 尤其适用于“第一次请求成功、后续全失败”或“短时间高频请求报错”的情况
• 副作用是每次连接都重走完整 TLS 握手，性能略降，但稳定性优先

核对 SSL 协议与加密套件兼容性

后端若只支持 TLS 1.2+ 或特定国密/旧算法，而 Nginx 默认协商范围太宽或太窄，也会导致握手中断。

• 显式声明协议版本：proxy_ssl_protocols TLSv1.2 TLSv1.3;（避免包含 TLSv1.0/TLSv1.1，除非后端明确要求）
• 如需兼容旧系统，可放宽：proxy_ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
• 一般无需配 proxy_ssl_ciphers，除非后端有强限制；误配反而容易引发不兼容