При использовании Nginx для TCP/UDP проксирования со считыванием SNI (модуль ngx_stream_ssl_preread_module) входящие TLS-соединения сбрасываются. В логе error.log появляется запись: client connection rejected by preread buffer limit while prereading client data.

• Клиенты не могут установить защищенное соединение на L4 TCP-балансировщике.
• Сбой возникает на клиентах с объемными расширениями рукопожатия TLS (ECH — Encrypted Client Hello, пост-квантовые шифры).

1. Откройте блок конфигурации stream {} в /etc/nginx/nginx.conf.
2. Увеличьте размер буфера предварительного чтения данных preread_buffer_size в секции stream или целевом server:

   stream {
       # Увеличиваем буфер предварительного чтения до 64k или 128k:
       preread_buffer_size 64k;
       preread_timeout 10s;
   
       # Роутинг TCP-трафика на основе домена (SNI) без расшифровки сертификата:
       map $ssl_preread_server_name $backend_pool {
           app.example.com      backend_app_cluster;
           secure.example.com   backend_secure_cluster;
           default              backend_default;
       }
   
       server {
           listen 443;
           ssl_preread on;
           proxy_pass $backend_pool;
       }
   }

3. Убедитесь, что таймаут preread_timeout достаточен для медленных мобильных клиентов.
4. Проверьте валидность файла конфигурации:

   sudo nginx -t

5. Примените параметры: sudo systemctl reload nginx.