Как использовать nginx в качестве обратного прокси с несколькими IP-адресами и SSL?

Я хотел бы настроить обратный прокси-сервер nginx с несколькими доменами и IP-адресом для каждого из них, чтобы использовать разные сертификаты SSL. Я запускаю Ubuntu как ОС, которая установлена ​​на виртуальной машине KVM / Qemu.

Насколько я понимаю, nginx должен иметь возможность обслуживать один домен (и принадлежащие ему поддомены) через один IP. Но я не могу заставить его работать ...

Это моя конфигурация nginx:

/ и т. д. / nginx / сайты-включенные / my_first_domain

server {
  listen x.x.x.84:80;                                   # this is a public ip
  server_name firstdomain.com;

  access_log /var/log/nginx/access.log proxy;     # I made my own logformat
  error_log  /var/log/nginx/error.log;

  proxy_set_header X-Real-IP $remote_addr;
  proxy_set_header Client-IP $remote_addr;
  proxy_set_header X-Host $host;
  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-For $remote_addr;

  location / {
    rewrite ^/(.*) https://firstdomain/$1;  # redirect to https
  }
}

server {
  listen x.x.x.84:443 ssl;                            # this is a public ip
  server_name firstdomain.com;

  ssl_certificate      /etc/nginx/ssl/combined.firstdomain.com.crt;
  ssl_certificate_key  /etc/nginx/ssl/wildcard.firstdomain.com.key;

  proxy_set_header X-Real-IP $remote_addr;
  proxy_set_header Client-IP $remote_addr;
  proxy_set_header X-Host $host;
  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-For $remote_addr;

  access_log /var/log/nginx/access.log proxy;
  error_log  /var/log/nginx/error.log;

  location / {
    proxy_pass http://x.x.x.85;                       # this is a public ip, too 
    proxy_redirect off;
  }
}

Думаю, этот конфиг очень простой. Каждый запрос на порт 80 должен быть перенаправлен на порт 443. Конфигурация для второго домена очень похожа.

/ и т. д. / nginx / сайты с поддержкой / другой домен

server {
  listen x.x.x.87:80;                                   # this is a public ip
  server_name anotherdomain.org;

  access_log /var/log/nginx/access.log proxy;     # I made my own logformat
  error_log  /var/log/nginx/error.log;

  proxy_set_header X-Real-IP $remote_addr;
  proxy_set_header Client-IP $remote_addr;
  proxy_set_header X-Host $host;
  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-For $remote_addr;

  location / { 
    rewrite ^/(.*) https://anotherdomain.org/$1;  # redirect to https
  }   
}

server {
  listen x.x.x.87:443 ssl;                            # this is a public ip
  server_name anotherdomain.org;

  ssl_certificate      /etc/nginx/ssl/combined.anotherdomain.org.crt;
  ssl_certificate_key  /etc/nginx/ssl/wildcard.anotherdomain.org.key;

  proxy_set_header X-Real-IP $remote_addr;
  proxy_set_header Client-IP $remote_addr;
  proxy_set_header X-Host $host;
  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-For $remote_addr;

  access_log /var/log/nginx/access.log proxy;
  error_log  /var/log/nginx/error.log;

  location / {
    proxy_pass http://x.x.x.89;                       # this is a public ip, too
    proxy_redirect off;
  }
}

Мой фрагмент netstat -tulpen:

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       User       Inode       PID/Program name
...
tcp        0      0 x.x.x.84:80           0.0.0.0:*               LISTEN      0          8724        1187/nginx      
tcp        0      0 x.x.x.87:80           0.0.0.0:*               LISTEN      0          8723        1187/nginx      
tcp        0      0 x.x.x.84:443          0.0.0.0:*               LISTEN      0          8726        1187/nginx      
tcp        0      0 x.x.x.87:443          0.0.0.0:*               LISTEN      0          8725        1187/nginx      
...

На самом деле я подумал, что этого должно быть достаточно для размещения нескольких доменов с SSL на одном сервере. Но nginx обслуживает один и тот же сертификат по каждому запросу. Результат - ошибка SSL.

И еще одно неожиданное поведение. Во время отладки я пытался получить сайты с telnet в качестве клиента. Этот запрос:

user@host:~$ telnet x.x.x.84 80
Trying x.x.x.84...
Connected to x.x.x.84.
Escape character is '^]'.
GET / HTTP/1.1
Host: firstdomain.com

принадлежит этому ответу:

HTTP/1.1 302 Moved Temporarily
...
Location: https://firstdomain.com/

Ммм, все в порядке ... но этот запрос [тот же домен (см. 'Host:' - заголовок), но IP сейчас не указан]:

user@host:~$ telnet x.x.x.87 80
Trying x.x.x.87...
Connected to x.x.x.87.
Escape character is '^]'.
GET / HTTP/1.1
Host: firstdomain.com

... приводит к доставке запрашиваемого веб-сайта. Итак, я получил сайт через прокси, хотя отправил запрос на неправильный IP-адрес и без SSL. Это именно то, что я хотел предотвратить!

Спасибо за идеи!