Echilibrare de încărcare NGINX: nume ssl în amonte

Am următoarea configurație Nginx pentru a echilibra sarcina între diferite noduri. Totuși, când încerc să redirecționez traficul pe care îl obțin 502 Bad Gateway.

Citind jurnalul de erori, am aflat că problema este legată de faptul că echilibratorul meu de încărcare Nginx încearcă să verifice valabilitatea certificatului X509 NU pentru diferitele noduri (backend1.example.com, backend2.example.com), ci pentru numele amonte backend.example.com (fara numarul), ceea ce duce la eroarea prezentată mai jos.

Cum îi pot spune lui nginx să folosească numele de gazdă al nodului redirecționat, în locul celui din amonte?

Jurnalul erorilor:

Certificatul SSL în amonte nu se potrivește cu „backend.example.com” în timp ce handshaking SSL în amonte...

CONFIGURARE:

în amonte backend.example.com {
   minimum_conn;
   server backend1.example.com:443
   server backend2.example.com:443
}
Server {

        asculta [::]:443 ssl ipv6only=on;
        asculta 443 ssl;
        nume_server example.com;

        Locație / {
                proxy_pass https://backend.example.com;

                proxy_ssl_trusted_certificate /etc/ssl/certs/ca-certificates.crt;
                proxy_ssl_session_reuse activat;
                proxy_ssl_verify on;
                proxy_ssl_verify_depth 2;
                proxy_set_header Gazdă $gazdă;
        }
    ssl_certificate /etc/letsencrypt/.../fullchain.pem; # gestionat de Certbot
    ssl_certificate_key /etc/letsencrypt/.../privkey.pem; # gestionat de Certbot
    includ /etc/letsencrypt/options-ssl-nginx.conf; # gestionat de Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # gestionat de Certbot

}

Directiva ngx_http_proxy_module de care aveți nevoie este proxy_ssl_name

Puteți remedia această problemă în mai multe moduri:

1. Încercați să o setați proxy_ssl_name $proxy_host;

2. Folosiți certificatul ssl wildcard.

3. Dacă se află în rețeaua internă, utilizați conexiunea http pentru upstream fără criptare dublă în exces și permiteți conectarea http pe partea amonte numai de la serverul proxy invers

4. Plasați același certificat în amonte pe fiecare nod și setați-l pentru un nume așteptat proxy_ssl_name backend.example.com;