HTTPS 在哪里卸载
对外服务通常以 HTTPS 发布，证书可以放在服务器侧，也可以由边界设备、WAF 或负载均衡承担加解密，也就是常说的卸载。卸载的好处是后端服务器不必处理 TLS，运维上证书集中管理；代价是卸载点到后端之间是明文传输，这段链路必须限定在可信的内网区域，否则等于把加密保护丢在了中间。
基本信息
| 适用平台 | nginx、HAProxy、WAF 与边界设备的 SSL 卸载能力 |
|---|---|
| 卸载位置 | 边界设备、WAF 或负载均衡持有证书并处理 TLS |
| 内网链路 | 卸载后内网可走 HTTP，前提是这段网络处于可信域 |
| 页面要求 | HTTPS 页面必须引用 HTTPS 资源，否则出现混合内容被浏览器拦截 |
典型使用场景
- 集中证书管理：证书放在少数几台设备上，替换时改动面小
- 后端性能优化：由专用设备处理 TLS，减轻应用服务器压力
- 多层防护：WAF 卸载后能看到明文请求，有利于应用层检测
- 灰度发布：新旧站点并存时通过卸载点区分流量走向
- 合规评估：明确加密边界与明文区段，满足对传输加密的要求
nginx 卸载示例
nginx 卸载示例
server {
listen 443 ssl;
ssl_certificate /etc/nginx/cert/site.crt; # 站点证书
ssl_certificate_key /etc/nginx/cert/site.key; # 私钥，注意文件权限
ssl_protocols TLSv1.2 TLSv1.3; # 关闭过时协议
location / {
proxy_pass http://192.168.20.10:8080; # 内网段为明文
}
}卸载位置对比
| 位置 | 优点 | 注意点 |
|---|---|---|
| 边界设备 | 证书集中管理 | 设备性能与证书更新流程 |
| WAF | 可同时做应用层检测 | 卸载后内网明文需限域 |
| 负载均衡 | 就近卸载、分摊压力 | 证书需在多节点同步 |
| 服务器侧 | 全链路加密 | 证书与证书链需逐台维护 |
启用 HSTS 后浏览器会强制使用 HTTPS，站点切换或回退到 HTTP 时用户端会直接拒绝访问，变更前要预留时间并评估影响。
卸载点变更时按顺序核对四件事：证书链是否完整、SNI 是否配置正确、内网回源端口是否放行、后端是否按约定的转发头读取真实客户端地址。缺一项都会表现为「部分客户端异常」这类难复现的问题。