# HTTP模塊（七層代理）示例
http {
    upstream backend {
        server 10.0.1.2:8080;
        server 10.0.1.3:8080;
    }
    server {
        listen 80;
        location /api/ {
            proxy_pass http://backend;
            # 可以讀取、修改HTTP頭
            proxy_set_header X-Real-IP $remote_addr;
        }
    }
}
# Stream模塊（四層代理）示例
stream {
    upstream dbservers {
        server 10.0.2.2:3306;
        server 10.0.2.3:3306;
    }
    server {
        listen 3306;
        proxy_pass dbservers;
        # 無法處理HTTP頭，只能看到原始TCP流
    }
}

# 主配置文件nginx.conf中
# 注意：stream塊與http塊是平級的，不是嵌套關(guān)系
# HTTP模塊配置
http {
    # ... HTTP相關(guān)配置
}
# Stream模塊配置
stream {
    # 共享內(nèi)存區(qū)域，用于工作進程間共享狀態(tài)
    # 對于連接數(shù)統(tǒng)計、限流等功能是必須的
    shared_stream_zone 10m;
    # 上游服務(wù)器組定義
    upstream backend_tcp {
        # 默認輪詢負載均衡
        server backend1.example.com:12345 weight=3;  # 權(quán)重3
        server backend2.example.com:12345 weight=2;  # 權(quán)重2
        server backup.example.com:12345 backup;      # 備份服務(wù)器
    }
    upstream backend_udp {
        server udp1.example.com:53;
        server udp2.example.com:53;
    }
    # TCP服務(wù)器配置
    server {
        listen 12345;                    # 監(jiān)聽TCP端口
        # listen 12345 ssl;             # 監(jiān)聽SSL/TLS
        # listen [::1]:12345;           # 監(jiān)聽IPv6
        proxy_pass backend_tcp;          # 轉(zhuǎn)發(fā)到上游組
        proxy_timeout 30s;               # 代理超時時間
        proxy_connect_timeout 3s;        # 連接上游超時時間
        # TCP特定配置
        tcp_nodelay on;                  # 禁用Nagle算法
        so_keepalive on;                 # 啟用TCP Keepalive
    }
    # UDP服務(wù)器配置
    server {
        listen 53 udp;                   # 監(jiān)聽UDP端口
        proxy_pass backend_udp;
        proxy_timeout 10s;
    }
}

stream {
    upstream app_servers {
        # 1. 輪詢（默認）
        server 10.0.1.1:9000;
        # 2. 加權(quán)輪詢
        server 10.0.1.2:9000 weight=5;
        # 3. 最少連接數(shù)
        least_conn;
        server 10.0.1.3:9000;
        server 10.0.1.4:9000;
        # 4. 哈希（會話保持）
        hash $remote_addr consistent;
        server 10.0.1.5:9000;
        server 10.0.1.6:9000;
        # 5. 隨機算法
        random two;
        server 10.0.1.7:9000;
        server 10.0.1.8:9000;
        # 健康檢查（需要nginx-plus或第三方模塊）
        # health_check interval=10 passes=2 fails=3;
    }
    server {
        listen 9000;
        proxy_pass app_servers;
    }
}

stream {
    # SSL上游服務(wù)器
    upstream ssl_backend {
        server 10.0.3.1:443;
    }
    server {
        listen 8443 ssl;
        # SSL證書配置
        ssl_certificate /etc/nginx/ssl/server.crt;
        ssl_certificate_key /etc/nginx/ssl/server.key;
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers HIGH:!aNULL:!MD5;
        # 兩種SSL代理模式：
        # 模式1：SSL終止（解密流量，看到明文）
        proxy_pass ssl_backend;
        # 此時與后端的通信可以是明文的
        # 模式2：SSL透傳（加密直通）
        # proxy_ssl on;                  # 啟用SSL連接到上游
        # proxy_ssl_certificate /path/to/client.crt;
        # proxy_ssl_certificate_key /path/to/client.key;
        # proxy_ssl_trusted_certificate /path/to/ca.crt;
        # proxy_ssl_verify on;          # 驗證上游證書
        # proxy_ssl_verify_depth 2;
        # proxy_ssl_session_reuse on;   # SSL會話復用
    }
}

# MySQL讀寫分離代理
stream {
    upstream mysql_read {
        zone mysql_zone 64k;           # 共享內(nèi)存區(qū)
        least_conn;                    # 最少連接負載均衡
        server db-slave1:3306 weight=3 max_conns=100;
        server db-slave2:3306 weight=2 max_conns=100;
        server db-slave3:3306 weight=2 max_conns=100;
        server db-slave-backup:3306 backup;  # 備份節(jié)點
    }
    upstream mysql_write {
        server db-master:3306;
    }
    # 讀負載均衡器
    server {
        listen 3307;  # 讀端口
        # 連接限制
        proxy_connect_timeout 1s;
        proxy_timeout 3h;              # MySQL長連接
        # 連接數(shù)限制（需要limit_conn模塊）
        limit_conn mysql_conn_zone 200;
        limit_conn_log_level error;
        proxy_pass mysql_read;
        # 錯誤處理
        proxy_next_upstream on;
        proxy_next_upstream_timeout 2s;
        proxy_next_upstream_tries 2;
    }
    # 寫代理
    server {
        listen 3308;  # 寫端口
        proxy_pass mysql_write;
    }
}

# SSH安全網(wǎng)關(guān)：集中管理服務(wù)器訪問入口
stream {
    # 內(nèi)部服務(wù)器組
    upstream ssh_servers {
        server 192.168.1.10:22;    # Web服務(wù)器
        server 192.168.1.20:22;    # 數(shù)據(jù)庫服務(wù)器
        server 192.168.1.30:22;    # 應(yīng)用服務(wù)器
    }
    server {
        listen 2222;
        # 訪問控制
        allow 203.0.113.0/24;      # 辦公室IP段
        allow 192.168.1.100;       # 管理員IP
        deny all;                   # 其他全部拒絕
        # 連接限制
        proxy_connect_timeout 10s;
        proxy_timeout 1h;
        # 使用客戶端真實IP（需要后端SSH配置支持）
        proxy_protocol on;          # 發(fā)送Proxy Protocol v2
        # 日志記錄
        access_log /var/log/nginx/ssh-access.log;
        error_log /var/log/nginx/ssh-error.log;
        proxy_pass ssh_servers;
    }
}

# 多區(qū)游戲服務(wù)器負載均衡
stream {
    # 基于地理位置的服務(wù)器分配
    geo $player_region {
        default        us_servers;
        1.0.0.0/8      cn_servers;
        8.0.0.0/8      us_servers;
        14.0.0.0/8     au_servers;
        46.0.0.0/8     eu_servers;
    }
    upstream us_servers {
        server game-us-east:27015 weight=5;
        server game-us-west:27015 weight=5;
    }
    upstream eu_servers {
        server game-eu-frankfurt:27015;
        server game-eu-london:27015;
    }
    upstream cn_servers {
        server game-cn-beijing:27015;
        server game-cn-shanghai:27015;
    }
    server {
        listen 27015 udp;    # 游戲通常使用UDP
        # UDP特定優(yōu)化
        proxy_responses 0;    # 不等待響應(yīng)（適用于單向通信）
        proxy_timeout 5s;
        # 根據(jù)玩家IP選擇服務(wù)器組
        proxy_pass $player_region;
        # 緩沖區(qū)優(yōu)化
        proxy_buffer_size 16k;
    }
}

# DNS查詢負載均衡
stream {
    upstream dns_resolvers {
        # 多個上游DNS服務(wù)器
        server 8.8.8.8:53;      # Google DNS
        server 1.1.1.1:53;      # Cloudflare DNS
        server 208.67.222.222:53;  # OpenDNS
    }
    server {
        listen 53 udp reuseport;  # reuseport提高UDP性能
        # UDP DNS配置
        proxy_responses 1;        # 等待一個響應(yīng)
        proxy_timeout 2s;
        # 響應(yīng)數(shù)據(jù)包大小限制
        proxy_buffer_size 512;
        proxy_pass dns_resolvers;
    }
    # TCP DNS回退（當響應(yīng)超過512字節(jié)時）
    server {
        listen 53;
        proxy_pass dns_resolvers;
    }
}

stream {
    # 連接限制區(qū)域定義
    limit_conn_zone $binary_remote_addr zone=per_ip:10m;
    limit_conn_zone $server_name zone=per_server:10m;
    # 限速區(qū)域
    limit_req_zone $binary_remote_addr zone=stream_req:10m rate=10r/s;
    server {
        listen 5432;  # PostgreSQL代理
        # 連接數(shù)限制
        limit_conn per_ip 20;      # 每個IP最多20個連接
        limit_conn per_server 200; # 本服務(wù)最多200個連接
        # 連接速率限制
        limit_req zone=stream_req burst=20;
        # 慢連接防護
        proxy_upload_rate 100k;    # 上傳限速
        proxy_download_rate 500k;  # 下載限速
        proxy_pass postgres_backend;
        # 錯誤頁面（簡化版）
        error_log /var/log/nginx/stream_error.log;
    }
}

stream {
    log_format stream_basic '$remote_addr [$time_local] '
                           '$protocol $status $bytes_sent $bytes_received '
                           '$session_time "$upstream_addr"';
    log_format stream_detailed '$remote_addr - $remote_user [$time_local] '
                              '"$server_name" $server_port '
                              '$protocol $status $bytes_sent $bytes_received '
                              '$session_time "$upstream_addr" '
                              '"$upstream_bytes_sent" "$upstream_bytes_received" '
                              '"$upstream_connect_time"';
    # 訪問日志
    access_log /var/log/nginx/stream-access.log stream_basic;
    # 如果需要更詳細的信息
    # access_log /var/log/nginx/stream-access-detailed.log stream_detailed buffer=32k flush=5s;
    server {
        listen 6379;  # Redis代理
        # 特定服務(wù)的日志
        access_log /var/log/nginx/redis-access.log stream_basic;
        # 實時監(jiān)控支持
        # status_zone redis_service;
        proxy_pass redis_backend;
    }
}

# 使用變量實現(xiàn)動態(tài)路由
stream {
    # 從外部文件或API獲取服務(wù)器列表
    map $ssl_preread_server_name $backend_name {
        mysql.example.com    mysql_backend;
        pg.example.com       postgres_backend;
        redis.example.com    redis_backend;
        default              default_backend;
    }
    upstream mysql_backend {
        server 10.0.5.1:3306;
    }
    upstream postgres_backend {
        server 10.0.5.2:5432;
    }
    server {
        listen 443 ssl;
        # SSL預讀：在握手階段讀取服務(wù)器名稱
        ssl_preread on;
        # 根據(jù)SNI動態(tài)選擇后端
        proxy_pass $backend_name;
        # 使用變量控制超時
        proxy_timeout $timeout_by_backend;
    }
}

# 調(diào)試配置示例
stream {
    server {
        listen 3389;  # RDP代理
        # 詳細錯誤日志
        error_log /var/log/nginx/rdp-debug.log debug;
        # 調(diào)試連接問題
        proxy_connect_timeout 5s;
        proxy_timeout 30s;
        # 緩沖區(qū)調(diào)試
        proxy_buffer_size 4k;
        # 臨時禁用，用于測試
        # deny all;
        # return "Service in maintenance";
        proxy_pass rdp_backend;
        # 狀態(tài)檢查端點（需要nginx-plus）
        # listen 127.0.0.1:8081;
        # status_zone rdp_status;
    }
}

# 增加最大文件描述符數(shù)
sysctl -w fs.file-max=1000000
sysctl -w net.core.somaxconn=65535
# 增加端口范圍
sysctl -w net.ipv4.ip_local_port_range="1024 65535"

# 主配置文件優(yōu)化
worker_processes auto;  # 自動設(shè)置工作進程數(shù)
worker_rlimit_nofile 100000;  # 每個worker的文件描述符限制
events {
    worker_connections 65536;  # 每個worker的連接數(shù)
    use epoll;  # Linux高性能事件模型
    multi_accept on;
}
stream {
    # 啟用端口復用（特別針對UDP）
    server {
        listen 53 udp reuseport;
        # ...
    }
}