Nginx负载均衡与反向代理配置详解

本文深入剖析了Nginx实现负载均衡与反向代理的三大核心配置要点——精准定义upstream、合理配置server转发逻辑、严谨处理proxy_pass的URI路径行为，并直击502/504错误、后端路径丢失、客户端信息失真等高频故障的根本原因：尾部斜杠误用、健康检查缺失、关键header未透传、DNS解析失效及SELinux拦截等。不讲空泛理论，只给可落地的硬核结论和避坑指南，助你一次性写出稳定、可观测、易维护的生产级代理配置。

直接说结论：Nginx 做负载均衡 + 反向代理，核心就三步——定义上游服务器组、配置 server 块转发请求、选对 proxy_pass 的 URI 处理方式。多数 502/504 或后端收不到路径的问题，都出在最后这一步。

怎么写 upstream 块才不踩坑

upstream 不只是列 IP，关键在连接行为控制：

• least_conn 比默认轮询更合理，尤其当后端处理时长差异大时；
• 务必加 max_fails=3 fail_timeout=30s，否则单点挂掉后 Nginx 还会持续重试，拖垮整体响应；
• 如果后端是容器或动态扩缩容环境，别硬写 IP，改用 resolve + DNS 名（需开启 resolver），但注意 TTL 缓存问题；
• 健康检查不能只靠 max_fails，生产环境建议配合 health_check interval=5 fails=2 passes=2（需 stream 模块或商业版，开源版只能靠被动检测）。

proxy_pass 后面带不带斜杠，后果天差地别

这是最常导致 404 或后端收不到完整 path 的地方：

• proxy_pass http://backend;（无尾部 /）→ 原样转发请求 URI，比如 /api/v1/users 会完整传给后端；
• proxy_pass http://backend/;（有尾部 /）→ 会剥离 location 匹配前缀，再拼接，比如 location /api/ { proxy_pass http://backend/; }，则 /api/v1/users 实际发给后端的是 /v1/users；
• 千万别混用：比如 location /api { proxy_pass http://backend/; }（location 没尾斜杠，proxy_pass 有），这时 Nginx 会把 /api 整个替换为空，结果可能变成 //v1/users，后端解析失败。

反向代理必须加的 proxy_set_header

缺这几个 header，后端拿不到真实客户端信息，日志和鉴权全乱：

• proxy_set_header Host $host;：不加的话，后端收到的是 upstream 名（如 backend），不是原始域名；
• proxy_set_header X-Real-IP $remote_addr; 和 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;：否则 request.remote_addr 在 Flask/Django 里永远是 Nginx 的内网 IP；
• proxy_set_header X-Forwarded-Proto $scheme;：后端判断 HTTPS 必须靠它，否则跳转链接变 HTTP；
• 别漏 proxy_http_version 1.1; 和 proxy_set_header Upgrade $http_upgrade;，否则 WebSocket 连接直接断开。

为什么 reload 后出现 502，但 curl 后端又通

常见原因不是后端挂了，而是 Nginx 进程没拿到新配置里的 resolver 或 upstream 变更：

• 改了 upstream 里 IP 或加了 resolve，但没执行 nginx -t && nginx -s reload，只 kill -HUP；
• DNS 解析失败时，Nginx 不报错，但 upstream 成员状态为 unresolved，nginx -s reload 后也不会自动重查，得重启主进程（nginx -s stop && nginx）；
• SELinux 开启时，proxy_pass 到非标准端口（如 8080）可能被拦截，看 ausearch -m avc -ts recent，临时放开用 setsebool -P httpd_can_network_connect 1；
• proxy_buffering off 开着又没配 proxy_buffer_size，大响应体直接触发 502。

真正麻烦的从来不是写几行配置，而是 upstream 状态看不见、header 转发被覆盖、URI 重写逻辑和 location 匹配规则咬在一起——调的时候建议开 error_log /var/log/nginx/error.log debug;，重点盯 http proxy 相关行，比猜快得多。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《Nginx负载均衡与反向代理配置详解》文章吧，也可关注golang学习网公众号了解相关技术文章。