如何使用NGINX解析和代理所有HTTPS流量，而无需SSL终止？

Question

我正在创建一个简单的DNS服务器，该服务器只能解析白名为域名的记录，并使用8.8.8.8（Google DNS）来解决非白轮列出的域。

白色域域被解析到xxxx的自定义代理服务器中。 在xxxx上有一个Nginx服务器，该服务器基于client> client hello消息中提供的主机名重定向所有流量。

整个流程：

1- DNS服务器收到的记录example.com

2- example.com已列入白色，因此DNS服务器发送xxxx作为答案。

3-客户端将client hello发送到xxxx，因为它认为它是example.com

4- nginx服务器从<<<<<代码>客户端hello 并使用8.8.8.8来解析域本身，然后将请求传递给example.com的原始IP地址

在使用此设置并代理每个域（所以每个请求的域，无论其白名单是否被列出到位于xxxx上的Nginx服务器的IP地址），某些请求面临麻烦。

由于某些连接正面临问题，而有些连接则不得不存在TLS握手（客户发送DNS查询的客户端不受控制）的问题，

但客户端或最终服务器如何阻止这一点？它与SSL固定有关吗？

谢谢

Nginx配置：

worker_processes  auto;

events {
    worker_connections  1024;
}

error_log /dev/stdout debug;

http {

    server {
            listen 80 default_server;
            listen [::]:80 default_server;
            server_name _;
            return 301 https://$host$request_uri;
    }
}

stream {
    server {
        resolver 8.8.8.8 ipv6=off;
        listen 443;
        ssl_preread on;
        proxy_pass $ssl_preread_server_name:443;
    }
}

来自error_log的某些日志，在nginx中的调试级别：

2022/05/21 15:25:36 [error] 6#6: *398 recv() failed (104: Connection reset by peer) while proxying and reading from upstream, client: x, server: 0.0.0.0:443, upstream: "x:443", bytes from/to client:696/6998, bytes from/to upstream:6998/917
2022/05/21 15:25:33 [error] 6#6: *476 connect() failed (111: Connection refused) while connecting to upstream, client: x, server: 0.0.0.0:443, upstream: "x:443", bytes from/to client:0/0, bytes from/to upstream:0/0