NPS Enhanced与Nginx配合使用：实现HTTPS加密与真实IP透传的最佳实践

NPS Enhanced与Nginx配合使用：实现HTTPS加密与真实IP透传的最佳实践

【免费下载链接】npsNPS Enhanced — Lightweight intranet tunneling and reverse proxy with Web UI | NPS 内网穿透 反向代理 增强版 全修 新版 二开项目地址: https://gitcode.com/gh_mirrors/nps4/nps

NPS Enhanced（nps4）是一款轻量高效的内网穿透代理服务器，支持TCP、UDP、HTTP、HTTPS等多种协议转发。通过与Nginx配合使用，不仅能实现HTTPS加密传输，还能解决真实IP透传问题，为内网服务提供更安全、专业的公网访问方案。

为什么需要Nginx与NPS Enhanced配合？

在生产环境中，单独使用NPS虽然能实现内网穿透，但面对高并发HTTPS请求或复杂的反向代理场景时，Nginx的加入能带来以下优势：

• 统一入口管理：Nginx处理公网80/443端口，避免NPS直接暴露在公网
• SSL终结与证书管理：集中处理HTTPS证书，减轻NPS负担
• 真实IP透传：通过HTTP头传递客户端真实IP，解决内网服务无法获取访客IP的问题
• 负载均衡与缓存：利用Nginx的高级特性优化服务性能

图：NPS与代理服务器配合的网络架构示意图，展示了用户请求通过代理服务器转发到内网客户端的流程

准备工作：环境与配置文件

必要环境

• NPS Enhanced服务端已安装并运行
• Nginx已安装（推荐1.18+版本）
• 域名与SSL证书（Let's Encrypt或商业证书）

核心配置文件路径

• NPS配置文件：conf/nps.conf
• Nginx配置文件：通常位于/etc/nginx/conf.d/目录下
• NPS官方文档：docs/guide/server/https-and-proxy.md

步骤1：配置NPS支持前置代理

修改NPS配置文件conf/nps.conf，启用本地HTTP代理并配置信任机制：

# 仅监听本地端口，避免直接暴露公网 http_proxy_port=8010 # 设置验证密码，防止未授权访问 x_nps_http_only=your_secure_password # 允许接收X-Real-IP头 allow_x_real_ip=true # 信任Nginx服务器的IP trusted_proxy_ips=127.0.0.1

这些配置确保NPS只接受来自Nginx的转发请求，并能正确识别代理头信息。修改完成后重启NPS服务：

nps stop && nps start

步骤2：配置Nginx实现HTTPS与反向代理

创建Nginx配置文件（如/etc/nginx/conf.d/nps-proxy.conf），添加以下内容：

server { listen 80; server_name yourdomain.com; # 强制HTTP跳转HTTPS return 301 https://$host$request_uri; } server { listen 443 ssl; server_name yourdomain.com; # SSL证书配置 ssl_certificate /path/to/your/cert.pem; ssl_certificate_key /path/to/your/key.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5; location / { # 转发到NPS本地端口 proxy_pass http://127.0.0.1:8010; # 传递必要的头信息 proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection $http_connection; proxy_set_header Host $http_host; # NPS验证密码 proxy_set_header X-NPS-Http-Only "your_secure_password"; # 透传真实IP proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 禁用缓存和重定向 proxy_redirect off; proxy_buffering off; } }

测试Nginx配置并重启：

nginx -t && systemctl restart nginx

步骤3：配置NPS传递真实IP到后端服务

为确保内网服务能获取客户端真实IP，需要在NPS中启用HTTP头转发功能。修改conf/nps.conf：

# 启用真实IP头转发 http_add_origin_header=true

对于TCP/UDP隧道或需要Proxy Protocol的场景，可以在NPS管理界面的隧道配置中启用Proxy Protocol选项。

图：NPS Web管理界面，可在其中配置隧道参数和查看系统状态

步骤4：验证配置是否生效

验证HTTPS配置

访问https://yourdomain.com，检查浏览器地址栏是否显示安全锁图标。也可使用curl验证：

curl -I https://yourdomain.com

应返回200 OK且包含Server: nginx响应头。

验证真实IP透传

在后端服务中打印请求头，检查是否包含：

• X-Real-IP: 客户端真实IP
• X-Forwarded-For: 代理服务器IP链

对于HTTP服务，可使用简单的Python脚本测试：

from flask import Flask, request app = Flask(__name__) @app.route('/') def index(): return f"Real IP: {request.headers.get('X-Real-IP')}" if __name__ == '__main__': app.run()

常见问题与解决方案

Q: 配置后无法访问服务怎么办？

A: 检查以下几点：

1. NPS和Nginx服务是否正常运行
2. 防火墙是否开放80/443端口
3. Nginx配置中的proxy_pass地址是否正确
4. x_nps_http_only密码是否匹配

Q: 真实IP仍然显示为Nginx服务器IP？

A: 确保NPS配置中：

allow_x_real_ip=true trusted_proxy_ips=127.0.0.1 # Nginx服务器IP

Q: HTTPS证书自动续期后需要重启吗？

A: Nginx支持热加载证书：

nginx -s reload

无需重启NPS服务。

总结

通过NPS Enhanced与Nginx的配合，我们实现了HTTPS加密传输和真实IP透传的完整解决方案。这种架构既利用了NPS的内网穿透能力，又发挥了Nginx在HTTPS处理和反向代理方面的优势，为内网服务提供了企业级的公网访问方案。

如需更高级的配置，如负载均衡、URL重写或WAF集成，可以参考NPS官方文档的HTTPS与反向代理章节，进一步优化你的部署架构。

【免费下载链接】npsNPS Enhanced — Lightweight intranet tunneling and reverse proxy with Web UI | NPS 内网穿透 反向代理 增强版 全修 新版 二开项目地址: https://gitcode.com/gh_mirrors/nps4/nps