NiFi 跑得好好的突然有一天某個(gè) InvokeHTTP 處理器開(kāi)始報(bào)錯(cuò)Connection reset by peer或者日志里冒出 unrecognized_name。你去機(jī)房登進(jìn)服務(wù)器curl 一下目標(biāo)地址完全正常瀏覽器打開(kāi)也正常偏偏 NiFi 不行。這種問(wèn)題十有八九就是 SNI 在中間作祟。Apache NiFi 是做數(shù)據(jù)流轉(zhuǎn)的從數(shù)據(jù)庫(kù)扒數(shù)據(jù)、調(diào)第三方 API、寫到對(duì)象存儲(chǔ)本質(zhì)上是在發(fā)起一堆 HTTP/HTTPS 請(qǐng)求。而 SNI 是 TLS 協(xié)議族里的服務(wù)器名稱指示擴(kuò)展在 TLS 握手階段告訴服務(wù)器我要訪問(wèn)的是哪個(gè)虛擬主機(jī)。這兩個(gè)本來(lái)互不相干但當(dāng)你的目標(biāo)服務(wù)部署在負(fù)載均衡器后面、一臺(tái)服務(wù)器同時(shí)托管多個(gè) HTTPS 域名時(shí)服務(wù)器就只能靠 ClientHello 里的 SNI 來(lái)判斷該用哪張證書、對(duì)應(yīng)哪個(gè)后端。NiFi 如果沒(méi)有按預(yù)期把你的域名作為 SNI 傳給服務(wù)器握手就直接失敗。這篇文章我把我在實(shí)際項(xiàng)目里踩過(guò)的 NiFi SNI 坑拆開(kāi)講問(wèn)題表現(xiàn)、根因定位、低成本的快速處理方案、需要寫代碼的自定義方案以及 NiFi 自己作為 HTTPS 服務(wù)端時(shí)的多證書路由辦法。適合正在跑 NiFi 數(shù)據(jù)流的平臺(tái)工程師、運(yùn)維同學(xué)也適合被第三方 HTTPS 接口折磨的數(shù)據(jù)開(kāi)發(fā)。1. 先搞清楚NiFi 和 SNI 是怎么撞在一起的1.1 NiFi 做數(shù)據(jù)流轉(zhuǎn)時(shí)哪里會(huì)用到 TLS/SNINiFi 是“流式”數(shù)據(jù)工具處理器之間通過(guò) FlowFile 串聯(lián)。常見(jiàn)的幾個(gè)場(chǎng)景里TLS 和 SNI 都會(huì)摻和進(jìn)來(lái)用 InvokeHTTP 處理器調(diào)用外部 HTTPS API比如拉取賬單、同步訂單、觸發(fā)報(bào)表生成。用 PutHDFS 或 FetchHDFS 連接啟用了 HTTPS 的 HDFS NameNode。用 PutElasticsearchHttp、PutKafka 之類走 HTTPS 的處理器寫入遠(yuǎn)程集群。用 ListenHTTP 或 HandleHttpRequest 對(duì)外提供 HTTPS 回調(diào)接口。多個(gè) NiFi 節(jié)點(diǎn)之間走 Site-to-Site 協(xié)議并且開(kāi)了 TLS。大部分情況下NiFi 扮演的是 HTTP 客戶端的角色。你給它配置一個(gè) URL、一個(gè) SSLContextService它就去連接目標(biāo)服務(wù)器。問(wèn)題恰恰出在這里NiFi 默認(rèn)使用的 HTTP 客戶端和 JVM 自帶的 TLS 實(shí)現(xiàn)在“要不要攜帶 SNI 擴(kuò)展”這件事上不同版本的表現(xiàn)并不一致。我在一個(gè)練手項(xiàng)目里就遇到過(guò)Nifi 版本 1.15 左右用 InvokeHTTP 拉某個(gè) API 網(wǎng)關(guān)的數(shù)據(jù)本地 curl 一切正常NiFi 跑十分鐘就報(bào)一次 connection reset偶爾還會(huì)出現(xiàn)證書校驗(yàn)失敗。后來(lái)抓包才發(fā)現(xiàn)NiFi 發(fā)出的 ClientHello 里根本沒(méi)有 server_name 字段而對(duì)方網(wǎng)關(guān)只要看到?jīng)]有 SNI 的客戶端直接丟包。1.2 SNI 到底是什么Java 客戶端為什么會(huì)栽在它手上SNI全稱 Server Name Indication是 TLS 協(xié)議的一個(gè)擴(kuò)展定義在 RFC 6066 里。它的作用非常簡(jiǎn)單在 TLS 握手第一步 ClientHello 中客戶端告訴服務(wù)器“我想要訪問(wèn)的主機(jī)名是 api.example.com”。為什么需要這個(gè)字段因?yàn)橐慌_(tái)服務(wù)器可以同時(shí)托管多個(gè) HTTPS 域名傳統(tǒng)做法是每個(gè)域名綁定一個(gè)獨(dú)立 IP后來(lái) IP 不夠用了就在同一個(gè) IP 上跑多個(gè)虛擬主機(jī)。HTTP 協(xié)議本身有 Host 頭來(lái)區(qū)分域名但 TLS 握手發(fā)生在 HTTP 之前服務(wù)器還沒(méi)看到 Host 頭就必須先決定用哪張證書完成握手。這時(shí)候只能靠 SNI 來(lái)提前告知域名。Java 從 JDK 7 開(kāi)始支持 SNI 擴(kuò)展大多數(shù)情況下是默認(rèn)開(kāi)啟的。但有幾個(gè)“坑”是 Java 客戶端特有的如果程序使用 IP 地址而不是域名建立連接Java 默認(rèn)不會(huì)填充 SNI 字段。因?yàn)樗倪壿嬍恰拔叶紱](méi)用域名哪來(lái)的服務(wù)器名稱可填”。如果程序通過(guò)自定義的 SocketFactory 創(chuàng)建連接而自定義代碼沒(méi)有主動(dòng)設(shè)置 SSLParametersSNI 信息可能會(huì)丟失。部分嵌入式 JRE 或容器環(huán)境會(huì)故意關(guān)閉 SNI 擴(kuò)展或者驅(qū)動(dòng)“jsse.enableSNIExtension”這個(gè)系統(tǒng)屬性被改掉。在 Java 8 和 Java 11 之間默認(rèn)的 TLS 協(xié)議版本、證書校驗(yàn)邏輯、SNI 處理行為都有差異同一個(gè) NiFi 流在不同 JDK 上表現(xiàn)完全不同。所以NiFi 報(bào) SNI 相關(guān)問(wèn)題絕大多數(shù)情況下不是 NiFi 本身壞掉了而是它底層走的 Java 客戶端沒(méi)有按目標(biāo)服務(wù)要求把 SNI 傳上去。1.3 我把 SNI 問(wèn)題分成了三類場(chǎng)景我習(xí)慣把 NiFi 的 SNI 問(wèn)題歸成三類因?yàn)榕挪槁窂酵耆煌谝活怤iFi 作為客戶端訪問(wèn)外部 HTTPS 服務(wù)。這是最常見(jiàn)的場(chǎng)景重災(zāi)區(qū)是訪問(wèn)云廠商 API、企業(yè)內(nèi)部網(wǎng)關(guān)、以及放在 Nginx 或負(fù)載均衡器后面的微服務(wù)。解決思路集中在 JVM 參數(shù)、域名配置、SSLContextService、自定義 SSL Factory。第二類NiFi 服務(wù)端本身需要 SNI。比如 NiFi 對(duì)外開(kāi)放了一個(gè) HTTPS 端口前端的負(fù)載均衡或者客戶端會(huì)用 SNI 指定要訪問(wèn)的主機(jī)名而 NiFi 的 Jetty 容器默認(rèn)只會(huì)綁定一個(gè) keystore、一張證書。這就導(dǎo)致多個(gè)域名指向同一個(gè) NiFi 時(shí)證書不匹配。第三類NiFi 集群內(nèi)部組件之間的 TLS 通信。Site-to-Site、集群節(jié)點(diǎn)心跳等如果開(kāi)了 HTTPS也存在客戶端必須帶 SNI 的場(chǎng)景但這類問(wèn)題通常表現(xiàn)為節(jié)點(diǎn)連接失敗比較容易被誤判成網(wǎng)絡(luò)不通。這篇文章后面幾章會(huì)按這三類展開(kāi)。但先別急著改配置我們得先把問(wèn)題的“現(xiàn)場(chǎng)”定位清楚。2. 問(wèn)題表現(xiàn)與根因定位光看報(bào)錯(cuò)八成會(huì)走彎路2.1 常見(jiàn)報(bào)錯(cuò)信息速覽NiFi 日志里出現(xiàn)下面這些關(guān)鍵字時(shí)我會(huì)優(yōu)先往 SNI 方向排查Connection reset by peerhandshake alert: unrecognized_nameNo subject alternative names presentPKIX path building failedjavax.net.ssl.SSLHandshakeExceptionClientHello相關(guān)異常或者SNI extension相關(guān)警告這里要特別提醒一句“Connection reset by peer”和“PKIX path building failed”看著像兩個(gè)問(wèn)題實(shí)際上可能是同一個(gè)根因。服務(wù)器在收到?jīng)]有 SNI 的握手請(qǐng)求后如果決定直接斷開(kāi) TCP 連接Java 側(cè)可能只報(bào) connection reset后續(xù)證書相關(guān)的異常反而不出現(xiàn)。所以排查時(shí)不要去“猜”要按鏈路一層層看。2.2 一條命令驗(yàn)證目標(biāo)服務(wù)是否強(qiáng)制 SNI在動(dòng) NiFi 之前先在 NiFi 所在服務(wù)器上做一次基線測(cè)試。目標(biāo)地址假設(shè)是 api.example.com# 帶 SNI 的 TLS 握手 openssl s_client -connect api.example.com:443 -servername api.example.com # 不帶 SNI 的 TLS 握手 openssl s_client -connect api.example.com:443如果帶-servername時(shí)能完整輸出證書鏈和Verify return code而不帶-servername時(shí)握手失敗、證書錯(cuò)誤或者返回unrecognized_name那就可以基本斷定目標(biāo)服務(wù)強(qiáng)制要求 SNI客戶端不帶 SNI 就沒(méi)法完成連接。反之如果兩種方式的輸出完全一致說(shuō)明目標(biāo)服務(wù)不區(qū)分 SNI那問(wèn)題就要去 NiFi 的證書配置、網(wǎng)絡(luò)策略、代理設(shè)置里找。另外openssl s_client輸出里還能看到服務(wù)器證書的 SANSubject Alternative Name這個(gè)很有用。如果證書 SAN 里只有g(shù)ateway.internal.example.com而你用api.example.com去訪問(wèn)那么即使 SNI 帶對(duì)了主機(jī)名校驗(yàn)?zāi)且徊竭€是會(huì)失敗。2.3 判斷問(wèn)題出在 NiFi 還是目標(biāo)服務(wù)拿到了目標(biāo)服務(wù)的基線之后接下來(lái)要在 NiFi 這臺(tái)機(jī)器上做兩個(gè)對(duì)照測(cè)試第一步用 JDK 自帶的 HTTPS 連接測(cè)一下不帶任何 NiFi 配置JAVA_HOME/path/to/java $JAVA_HOME/bin/java -version $JAVA_HOME/bin/java -Djsse.enableSNIExtensiontrue -jar /tmp/HttpsProbe.jar https://api.example.com/v1/health沒(méi)有現(xiàn)成 jar 的話也可以臨時(shí)寫一個(gè)極簡(jiǎn) Java 類用HttpsURLConnectionGET 一下目標(biāo) URL看是否報(bào)錯(cuò)。這個(gè)測(cè)試的作用是排除 NiFi 處理器本身的網(wǎng)絡(luò)配置只驗(yàn)證 JVM 默認(rèn) TLS 客戶端能不能連通。第二步把 NiFi 處理器里的 URL 換成目標(biāo)服務(wù)的一個(gè) HTTP 內(nèi)網(wǎng)地址或者暫時(shí)關(guān)閉目標(biāo)服務(wù)的 HTTPS 做連通性測(cè)試。如果 HTTP 正常、HTTPS 異?；究梢枣i定是 TLS 層問(wèn)題也就是 SNI 或證書校驗(yàn)其中之一。做完這兩步方向基本不會(huì)錯(cuò)。3. 快速解法改配置、升版本、換域名先低成本把鏈路通起來(lái)3.1 檢查并升級(jí) JVM讓 SNI 擴(kuò)展默認(rèn)可用NiFi 跑在 JVM 上JVM 的 TLS 行為直接影響請(qǐng)求結(jié)果。我的排查順序通常是先看 NiFi 實(shí)際用的是哪個(gè) Java 版本再看啟動(dòng)參數(shù)里有沒(méi)有jsse.enableSNIExtension相關(guān)設(shè)置。NiFi 的 jvm 參數(shù)在conf/bootstrap.conf里通過(guò)java.arg配置Java 安裝路徑在conf/nifi-env.sh里通過(guò)JAVA_HOME指定。檢查方式# 查看 NiFi 啟動(dòng)進(jìn)程實(shí)際使用哪個(gè) Java ps -ef | grep nifi | grep -E java|JAVA | head -1 # 查看 NiFi 進(jìn)程內(nèi)是否顯式設(shè)置了 jsse 屬性 ps -ef | grep nifi | grep -o jsse.enableSNIExtension[^ ]* || echo not set如果發(fā)現(xiàn)jsse.enableSNIExtension被顯式設(shè)成了 false或者根本沒(méi)有這個(gè)參數(shù)且 Java 版本比較老可以先在bootstrap.conf里把參數(shù)補(bǔ)上java.arg.140-Djsse.enableSNIExtensiontrue為什么這個(gè)參數(shù)有用它的作用是告訴 JVM 啟用 SNI 擴(kuò)展。JDK 7 之后默認(rèn)是 true但總有人為了圖省事在啟動(dòng)腳本里順手加過(guò)-Djsse.enableSNIExtensionfalse或者某些容器鏡像里的基礎(chǔ) JRE 把它關(guān)掉了。改完之后重啟 NiFi 再測(cè)。如果 Java 版本低于 8強(qiáng)烈建議直接升級(jí)到 11 或 17。老版本 JVM 不僅 SNI 行為不可控TLS 1.3 也不支持后面的坑還會(huì)更多。3.2 用域名代替 IP別讓 SNI 變成空白這是最容易被忽略的一點(diǎn)。NiFi 處理器里的 URL如果填的是 IP 地址比如https://192.168.10.5:8443/apiJava 客戶端在建立 TLS 連接時(shí)不會(huì)填 SNI 字段。即使填了填的也是一個(gè)數(shù)字 IP 串服務(wù)器的證書 SAN 里一般也不會(huì)包含這個(gè) IP。解決辦法很簡(jiǎn)單URL 一律改成域名。如果內(nèi)外網(wǎng)解析不一致可以在 NiFi 所在服務(wù)器的/etc/hosts里加上靜態(tài)解析192.168.10.5 api.internal.example.com然后在 InvokeHTTP 處理器的 URL 屬性里寫https://api.internal.example.com:8443/api這樣 Java 客戶端就能拿到一個(gè)合法的域名SNI 會(huì)正常填充為api.internal.example.com同時(shí)證書校驗(yàn)也可以拿這個(gè)域名去匹配 SAN。有人可能會(huì)問(wèn)證書 SAN 里沒(méi)有這個(gè)內(nèi)部域名怎么辦那屬于證書問(wèn)題要么申請(qǐng)包含該域名的證書要么在自定義 SSLContextService 里把主機(jī)名校驗(yàn)對(duì)象指定為證書里的常用域名后面第 4 章會(huì)講。3.3 把 NiFi 升級(jí)到新版本或換 HTTP 客戶端NiFi 本身也在不斷修 HTTP 客戶端相關(guān)的 bug。1.x 早期的某些版本里InvokeHTTP 底層使用的 HTTP 客戶端在發(fā)送 HTTPS 請(qǐng)求時(shí)對(duì) SNI 的處理不夠好尤其是在通過(guò)代理訪問(wèn)、或者使用自定義 SSLContextService 的時(shí)候SNI 信息容易丟。我的建議是先查一下當(dāng)前 NiFi 版本然后去官方 Release Notes 里搜一下SNI或TLS handshake的相關(guān)修復(fù)。如果小版本落后太多直接升級(jí)到當(dāng)前最新的穩(wěn)定版往往順手就把問(wèn)題解決了。但升級(jí) NiFi 是一件影響面比較大的事如果短期不能升級(jí)可以考慮只替換 HTTP 客戶端的實(shí)現(xiàn)。比如 InvokeHTTP 背后可以接自定義的 FlowFile 處理邏輯或者用 ExecuteGroovyScript 寫一段腳本自己拿 Apache HttpClient 或 Java 的 HttpClient 去發(fā)請(qǐng)求繞開(kāi)默認(rèn)客戶端在 SNI 上的缺陷。3.4 確認(rèn) SSLContextService 配置與證書校驗(yàn)參數(shù)NiFi 里用到的 SSL 配置大多是通過(guò) Controller Service 的 SSLContext 實(shí)現(xiàn)的最常見(jiàn)的是StandardSSLContextService和StandardRestrictedSSLContextService。它們的操作界面里有一個(gè)屬性叫Hostname Verification Strategy常見(jiàn)選值包括None不校驗(yàn)主機(jī)名安全性差但能快速繞過(guò)一部分報(bào)錯(cuò)。BOTH或ELB_ENDPOINT按負(fù)載均衡域名校驗(yàn)主機(jī)名。USE_CERT使用對(duì)端證書里的名稱。很多人遇到證書報(bào)錯(cuò)第一反應(yīng)就是把Hostname Verification改成None這確實(shí)能讓流程“看起來(lái)能跑”但我不推薦。主機(jī)名校驗(yàn)是 TLS 防中間人攻擊的重要屏障關(guān)掉之后你這個(gè)請(qǐng)求到底發(fā)給誰(shuí)、返回?cái)?shù)據(jù)被誰(shuí)看了都沒(méi)法保證。更穩(wěn)妥的做法是讓證書里的 SAN 域名和 NiFi 請(qǐng)求的 URL 域名保持一致然后保留主機(jī)名校驗(yàn)。如果兩邊域名實(shí)在對(duì)不上再去考慮“自定義校驗(yàn)邏輯”而不是直接一刀切關(guān)掉。4. 進(jìn)階解法自定義 SSLContextService手寫 SNI 擴(kuò)展4.1 為什么需要自定義當(dāng)目標(biāo)服務(wù)強(qiáng)制要求 SNI而 NiFi 版本和 JVM 參數(shù)都調(diào)整過(guò)仍然無(wú)效時(shí)就得考慮在代碼層面手動(dòng)把 SNI 塞進(jìn) TLS 握手流程。NiFi 本身沒(méi)有在 UI 上提供一個(gè)叫“SNI 主機(jī)名”的配置項(xiàng)我至少在我常用的幾個(gè)版本里沒(méi)見(jiàn)過(guò)完全對(duì)應(yīng)的選項(xiàng)。因此最常見(jiàn)的做法是寫一個(gè)自定義的 SSLContextService返回一個(gè)自定義的 SSLSocketFactory在這個(gè)工廠里給每個(gè)新建 Socket 設(shè)置SSLParameters.setServerNames()。為什么必須這樣做因?yàn)?Java 的SSLSocketFactory默認(rèn)通過(guò)HttpsURLConnection的Hostname來(lái)設(shè)置 SNI一旦你走了 NiFi 內(nèi)部的 HTTP 客戶端它傳下去的域名可能和你 URL 里的域名并不一樣。自定義工廠相當(dāng)于把“目標(biāo)主機(jī)名”這一變量完全掌握在自己手里。4.2 自定義 Controller Service 的要點(diǎn)在 NiFi 里自定義 Controller Service需要新建一個(gè) Maven 項(xiàng)目依賴nifi-api實(shí)現(xiàn)某個(gè)接口然后打包成 NAR放到lib目錄下重啟。完整代碼量不小但核心邏輯就一段。這里給一個(gè)概念性的 Java 核心代碼示例幫助你理解重點(diǎn)在哪里public class SniAwareFactory extends SSLSocketFactory { private final SSLSocketFactory delegate; private final String sniHostname; public SniAwareFactory(SSLSocketFactory delegate, String sniHostname) { this.delegate delegate; this.sniHostname sniHostname; } Override public Socket createSocket(Socket socket, String host, int port, boolean autoClose) throws IOException { SSLSocket sslSocket (SSLSocket) delegate.createSocket(socket, host, port, autoClose); SSLParameters params sslSocket.getSSLParameters(); if (sniHostname ! null !sniHostname.trim().isEmpty()) { params.setServerNames(Collections.singletonList(new SNIHostName(sniHostname))); } sslSocket.setSSLParameters(params); return sslSocket; } // 其他 createSocket 重載方法同樣需要處理 }注意SNIHostName的構(gòu)造方法會(huì)校驗(yàn)傳入值必須是一個(gè)合法的域名或 IP不能是 URL 形式。另外當(dāng)服務(wù)器返回unrecognized_name警告時(shí)有些版本會(huì)拋出異常有些只是日志警告處理方式取決于你對(duì)端的行為。在自定義 SSLContextService 里還要考慮雙向 TLS 的情況既要能把 keystore 里自己的證書發(fā)出去又要能在握手階段帶上 SNI兩個(gè)邏輯要同時(shí)保留。4.3 不想寫 Nar先用 ExecuteGroovyScript 快速驗(yàn)證如果只是想驗(yàn)證“顯式給 SNI 能不能連通”不一定要立刻寫 NAR。NiFi 自帶的 ExecuteGroovyScript 處理器可以加載自定義腳本臨時(shí)跑一次 TLS 請(qǐng)求。不過(guò)要注意這種寫法是在腳本里主動(dòng)創(chuàng)建 HTTP 客戶端繞開(kāi)了 InvokeHTTP 處理器所以它更適合作為“驗(yàn)證工具”而不是長(zhǎng)期生產(chǎn)方案。腳本的核心思路是用 JDK 的SSLSocketFactory直接建一個(gè)SSLSocket設(shè)好 SNI再發(fā)起 HTTP 請(qǐng)求。SSLSocketFactory 默認(rèn)工廠 - 創(chuàng)建 Socket - 獲取 SSLParameters - setServerNames([new SNIHostName(api.example.com)]) - 連接 - 握手驗(yàn)證通過(guò)后再把同樣的邏輯遷移到自定義 Controller Service 或自定義處理器里接入 NiFi 的正式流程。4.4 自定義之后如何驗(yàn)證 SNI 真正帶上改完之后別急著說(shuō)“好了”先在 NiFi 機(jī)器上抓包確認(rèn)一下。最簡(jiǎn)單的驗(yàn)證方式是用 tcpdump 抓一段流量tcpdump -ni any host api.example.com and port 443 -w sni.pcap然后跑一次 InvokeHTTP 請(qǐng)求停止抓包用 Wireshark 打開(kāi) pcap 文件找到 TLS ClientHello 報(bào)文展開(kāi)擴(kuò)展區(qū)域確認(rèn)里面有一個(gè)server_name字段值等于目標(biāo)域名。還有一種更快的終端方式用openssl s_client模擬“帶上 SNI”的客戶端看目標(biāo)服務(wù)器是否認(rèn)識(shí)這個(gè)名稱openssl s_client -connect api.example.com:443 -servername api.example.com這個(gè)方法驗(yàn)證的是“目標(biāo)服務(wù)是否正確處理 SNI”不代表 NiFi 已經(jīng)帶上了 SNI。最終確認(rèn)還是要靠抓包或者看 NiFi 日志中的握手結(jié)果。5. NiFi 自身作為 HTTPS 服務(wù)端時(shí)SNI 多域名怎么辦5.1 單證書限制帶來(lái)的問(wèn)題NiFi 對(duì)外提供 HTTPS 接口時(shí)一般是在conf/nifi.properties里配置一個(gè) keystore指定一個(gè)證書。這個(gè)證書只能覆蓋有限的域名默認(rèn)情況下 Jetty 容器并不會(huì)因?yàn)槟闩渲昧硕鄠€(gè)hostname就自動(dòng)加載多張證書。于是問(wèn)題來(lái)了前端負(fù)載均衡器把多個(gè)域名都轉(zhuǎn)發(fā)到同一個(gè) NiFi 端口客戶端帶著domain-a.example.com的 SNI 來(lái)握手NiFi 返回的卻是domain-b.example.com的證書。這時(shí)候客戶端要么報(bào)證書不匹配要么因?yàn)橹鳈C(jī)名校驗(yàn)失敗拒絕連接。這類問(wèn)題的本質(zhì)是NiFi 本身不是一個(gè)專業(yè)的 HTTPS 網(wǎng)關(guān)不要指望它在單端口上做 SNI 證書協(xié)商。5.2 用反向代理按域名分流證書我處理過(guò)的一個(gè)生產(chǎn)環(huán)境就是在 NiFi 前面加了一層 Nginx作為 TLS 終結(jié)和 SNI 分發(fā)。大致架構(gòu)是客戶端 - Nginx(監(jiān)聽(tīng) 443按 SNI 選證書) - 后端 NiFi(HTTP 或一個(gè)共用證書)Nginx 通過(guò)兩個(gè)不同的server塊監(jiān)聽(tīng)同一個(gè) 443 端口每個(gè)塊分別配置自己的證書并用server_name區(qū)分 SNI 域名。當(dāng)客戶端請(qǐng)求domain-a.example.com時(shí)Nginx 返回 A 證書然后反代到后端 NiFi 的 HTTP 端口或 HTTPS 端口。這種方案的好處是NiFi 不用改代碼證書管理從 NiFi 挪到了 Nginx 這層擴(kuò)展新域名只需要加一個(gè) server 塊。缺點(diǎn)是 Nginx 和 NiFi 之間存在一個(gè)“信任邊界”如果 NiFi 對(duì)外暴露的是內(nèi)部敏感接口你要做好來(lái)源限制比如只允許 Nginx 的 IP 訪問(wèn) NiFi 端口。5.3 代理方案的配置要點(diǎn)和安全提醒用 Nginx 代理 NiFi 時(shí)有幾點(diǎn)要特別注意第一后端如果是 HTTPS代理請(qǐng)求時(shí)要保證 SNI 傳給后端Nginx 默認(rèn)會(huì)攜帶原始請(qǐng)求的Host作為 SNI你可以通過(guò)proxy_ssl_server_name on;來(lái)確保開(kāi)啟。location / { proxy_pass https://nifi-backend:9443; proxy_ssl_server_name on; proxy_set_header Host $host; }第二如果后端 NiFi 用的是自簽名證書而 Nginx 側(cè)的證書是正式證書兩個(gè)證書體系要理清。Nginx 到后端之間可以走私有 CA只要 Nginx 信任它就行。第三安全提醒不要在公網(wǎng)直接暴露 NiFi 管理端口。NiFi 的 UI 和 API 支持多種數(shù)據(jù)操作暴露在公網(wǎng)等于把數(shù)據(jù)管道的控制權(quán)交給別人。代理層至少要開(kāi)啟 IP 白名單、認(rèn)證鑒權(quán)有條件就再加一層 WAF 或 API 網(wǎng)關(guān)。6. 常見(jiàn)問(wèn)題排查速查表我在實(shí)際支持同事時(shí)經(jīng)常把這幾個(gè)問(wèn)題放在一個(gè)表格里對(duì)照效率很高現(xiàn)象可能原因建議處理方式TLS 握手期間 connection reset服務(wù)器對(duì)缺失或錯(cuò)誤的 SNI 直接斷開(kāi)確認(rèn) URL 使用域名顯式設(shè)置 SNIhandshake alert: unrecognized_name客戶端發(fā)送的 SNI 服務(wù)器不識(shí)別檢查目標(biāo)虛擬主機(jī)名、證書 SANNo subject alternative names present目標(biāo)證書缺少當(dāng)前訪問(wèn)主機(jī)名使用證書 SAN 中的域名或更換證書PKIX path building failedNiFi 信任庫(kù)缺少根 CA 或中間 CA將根證書導(dǎo)入 NiFi 使用的信任庫(kù)SSLHandshakeException 且提到 SNIJava 客戶端與服務(wù)器對(duì) SNI 處理不一致升級(jí) Java 版本開(kāi)啟 jsse.enableSNIExtension同一個(gè) IP 上多個(gè)域名證書不對(duì)NiFi 單端口只能配一個(gè)證書使用反向代理按 SNI 區(qū)分證書代理環(huán)境 HTTPS 請(qǐng)求失敗代理沒(méi)有正確傳遞 CONNECT 目標(biāo)地址檢查代理配置確保目標(biāo)域名透?jìng)黜樖滞扑]一個(gè)習(xí)慣每次遇到這類問(wèn)題都在項(xiàng)目文檔里留下三行記錄——目標(biāo)域名、目標(biāo)服務(wù)是否強(qiáng)制 SNI、NiFi 實(shí)際使用的 Java 版本。這能幫下一次排查節(jié)省大量時(shí)間。我自己在實(shí)際操作里任何對(duì)接外部 HTTPS 系統(tǒng)的需求第一步永遠(yuǎn)是先拿 openssl 做兩條基線測(cè)試帶 servername 和不帶 servername。只要兩條結(jié)果有差異就不要急著去調(diào) NiFi先把域名、證書、網(wǎng)關(guān)這三樣和接口方的邊界劃清楚。SNI 問(wèn)題本質(zhì)上是“客戶端有沒(méi)有在握手時(shí)正確通報(bào)身份”的問(wèn)題NiFi 只是個(gè)執(zhí)行者最終決定接不接納你的是服務(wù)器端對(duì) SNI 的校驗(yàn)策略。最后再分享一個(gè)小技巧NiFi 集群環(huán)境里改 JVM 參數(shù)或升級(jí)版本后我會(huì)先跑一個(gè)“哨兵流”——用 InvokeHTTP 每分鐘訪問(wèn)一次目標(biāo)接口連續(xù)運(yùn)行十分鐘確認(rèn)握手成功率是 100%。這樣比出了問(wèn)題再翻日志快得多也避免把 MTTR 拖到半夜。等你把這套方法論跑順再遇到 NiFi 和 SNI 相關(guān)的報(bào)錯(cuò)就沒(méi)那么慌了。