所以事后总觉得MS的东西在某些方面不是很地道。

转发代理是客户浏览器上所设代理的响应服务器
看过

留下的两个问题，第一个还没有想解决，因为不急也估计问题不大，第二个问题需要软件代码作支持，思路是用mod_rewrite来实现。只是下班前还没有搞定，因为其他工作的原因，没有剩余多少时间来实践这个思路。
RewriteCond %{REMOTE_USER} ^(.*)$
RewriteRule /aaa/login http://ipa/aaa/login?username=%1
可是在BACKEND WEB服务器跟踪来看，只有/aaa/login?username=， 后面的REMOTE_USER没有代入，不知什么原因。如果能代入，代码改动就是信手拈来了。---有人知道的话请留言，万分感谢。
只有期待下周一有美好的进展了。

http://www.host01.com/article/server/00070002/0621409075193649.htm， 说的可能能解决第一个问题，不过我不知道如果设置SSLVerifyClient require改为SSLVerifyClient none就可以符合我的需求了。毕竟SSL在此只是加密，安全认证没有必要，家里人访问嘛。

摘自apache的mod_rewrite文档：
特殊形式 %{LA-U:variable} 它是一个预设的值， variable的最终值在执行一个内部的(基于URL的)子请求后决定。在重写需要使用一个尚未有效的但是会在之后的API程序段中设置的变量的时候，就会使用这个方法。比如，需要在服务器级配置(httpd.conf文件)中重写REMOTE_USER变量，则，必须使用%{LA-U:REMOTE_USER}，因为此变量是由认证程序段设置的，而这个程序段是在mod_rewrite所在的URL转译程序段之后才执行的。但是，因为mod_rewrite是通过API修正程序段来实现目录级(.htaccess file)配置的，而这个程序段在认证程序段之前就执行了，所以用%{REMOTE_USER}就可以了。
根据文档中所说，我的RewriteRule无效是因为REMOTE_USER在NT认证之前还没有设置，所以需改为LA-U:REMOTE_USER。经此改动，username=xxx成功了。看来文档必须认真的读懂哦。
现在只剩下ssl证书的问题了。

很高兴，最后一个问题也搞出来了。

在APACHE作为反向代理时，如果需要支持SSL代理，必须加配置SSLProxyEngine On （context: server config, virtual host）。
如果BACK-END SERVER配置成只支持持安全证书的client访问（SSLVerifyClient require，SSLVerifyDepth 10），还必须在代理上安装该证书。（对我的应用来说，这是多余的了，因为唯一的client就是我的代理了。）
http://www.host01.com/article/server/00070002/0621409075193649.htm是一篇好文章，介绍了如何在apache上构建ssl认证的步骤。   谢谢作者。

http://dannyyuan.blog.51cto.com/212520/39088, 我的另一篇工作随记, 傻瓜式地给出了安装SS认证L服务器的步骤, 提醒自己可以照葫芦画瓢。 终于可以长舒一口气！

今天得到一个可能的规则。就是发现重写机制对于SSL来说，必须放至对应VIRTUALHOST节中，而代理机制可在SERVER全局位置中，对SSL同样生效。

确认！
SSL rewrite rules 须在 ssl.conf的virtualhost节中。
HTTP rewrite rules 通常在 httpd.conf中。