Nginx 是一個(gè)高性能的 HTTP 和反向代理服務(wù)器，也是一個(gè) IMAP/POP3 代理服務(wù)器。它是作為一款輕量級(jí)的服務(wù)器，專門設(shè)計(jì)用來處理高并發(fā)連接，非常適合用在資源受限的環(huán)境中。Nginx 最初是為俄羅斯訪問量第二的網(wǎng)站 Yandex.ru 而開發(fā)的，現(xiàn)在它已經(jīng)成為全球最流行的 Web 服務(wù)器之一。

一、Nginx介紹

Nginx（發(fā)音 “engine-x”）是一款高性能的開源 Web 服務(wù)器，也常用作反向代理、負(fù)載均衡和 HTTP 緩存。

作用

優(yōu)點(diǎn)

• 高并發(fā)、低資源占用：事件驅(qū)動(dòng)、異步非阻塞，適合大量連接
• 配置簡(jiǎn)單：一個(gè) nginx.conf 就能管站點(diǎn)、代理、限流等
• 穩(wěn)定成熟：生產(chǎn)環(huán)境里非常普遍

典型架構(gòu)

用戶 → Nginx（80/443）→ 靜態(tài)文件
                                        → 或轉(zhuǎn)發(fā)到后端應(yīng)用（如 :3000、:8080）

核心概念

• server：一個(gè)虛擬主機(jī)（域名 / 端口）
• location：按 URL 路徑匹配規(guī)則
• proxy_pass：反向代理到上游服務(wù)
• upstream：定義一組后端服務(wù)器（負(fù)載均衡用）

最小配置示例

server {
    listen 80;  # 監(jiān)聽的端口
    server_name example.com;  # 虛擬主機(jī)的名字
    location / {
        root /var/www/html;
        index index.html;
    }
    location /api/ {
        proxy_pass http://127.0.0.1:3000/; # 反向代理
    }
}

含義：根路徑返回靜態(tài)頁面；/api/ 轉(zhuǎn)發(fā)給本機(jī) 3000 端口的應(yīng)用。

總結(jié)：Nginx 站在最前面，負(fù)責(zé)接流量、發(fā)靜態(tài)、轉(zhuǎn)后端、做負(fù)載和 HTTPS。

二、企業(yè)中 Nginx 的使用

企業(yè)里 Nginx 幾乎總是放在流量入口，很少當(dāng)“唯一應(yīng)用服務(wù)器”。

一、用法

1. 統(tǒng)一入口 / 反向代理（最常見）

客戶端

→ CDN / WAF（可選）

→ Nginx / Ingress（入口）

→ 后端服務(wù)（Java / Go / Node / 微服務(wù)）

典型職責(zé)：

• 對(duì)外只暴露 80/443
• 按域名、路徑把請(qǐng)求轉(zhuǎn)到不同服務(wù)
• 統(tǒng)一加 HTTPS、日志、限流、鑒權(quán)頭

server {
    listen 443 ssl;
    server_name api.company.com;
    location /user/ {
        proxy_pass http://user-service;
    }
    location /order/ {
        proxy_pass http://order-service;
    }
}

2. 靜態(tài)資源托管

官網(wǎng)、運(yùn)營頁、前端打包產(chǎn)物（dist/）由 Nginx 直接提供：

• HTML / JS / CSS / 圖片 / 字體
• 開啟 gzip/brotli、緩存頭、try_files 支持 SPA

location / {
    root /data/www/app;
    try_files $uri $uri/ /index.html;
}

3. 負(fù)載均衡

后端多實(shí)例時(shí)，Nginx 做分發(fā)：

upstream app_backend {
    least_conn;
    server 10.0.1.11:8080 weight=3;
    server 10.0.1.12:8080 weight=2;
    server 10.0.1.13:8080 backup;
}
server {
    location / {
        proxy_pass http://app_backend;
    }
}

常見算法：round-robin、least_conn、ip_hash（會(huì)話粘滯）。

4. HTTPS / 證書終結(jié)

企業(yè)標(biāo)配：

• 證書掛在 Nginx（或網(wǎng)關(guān)）上
• 后端內(nèi)網(wǎng)走 HTTP / mTLS
• 強(qiáng)制 HTTP→HTTPS、HSTS

5. 灰度 / 藍(lán)綠 / 金絲雀

按 Header、Cookie、IP、百分比切流量：

# 簡(jiǎn)化示意：帶灰度 cookie 的走新版本
if ($cookie_canary = "1") {
    proxy_pass http://app_canary;
}

更復(fù)雜場(chǎng)景常配合 OpenResty、Ingress Controller、Service Mesh。

6. API 網(wǎng)關(guān)輕量能力

不是完整 API Gateway，但企業(yè)常讓 Nginx 承擔(dān)一部分：

• 路徑改寫、Header 注入
• IP 白名單 / 黑名單
• 基礎(chǔ)鑒權(quán)（Basic Auth、JWT 校驗(yàn)多靠模塊或上游）
• 限流限連
• 跨域 CORS

7. 與 Kubernetes 結(jié)合

• Ingress-Nginx / Nginx Ingress Controller
• 每個(gè) Ingress 規(guī)則最終變成 Nginx 配置
• 負(fù)責(zé)集群南北向流量

8. 內(nèi)網(wǎng)場(chǎng)景

• 管理后臺(tái)入口
• 跳板式反向代理（內(nèi)網(wǎng)系統(tǒng)統(tǒng)一域名）
• 文件下載 / 大文件加速（sendfile、斷點(diǎn)續(xù)傳）

9. 高可用部署形態(tài)

二、知識(shí)體系

按優(yōu)先級(jí)分層，從“能上線”到“能扛事”。

A. 基礎(chǔ)必會(huì)

1. 進(jìn)程與架構(gòu)

• Master / Worker 模型
• Worker 數(shù)與 CPU 核數(shù)關(guān)系
• 事件驅(qū)動(dòng)、非阻塞 I/O 為什么能扛高并發(fā)
• 配置熱加載：nginx -t → nginx -s reload

2. 配置結(jié)構(gòu)

main
 └─ events
 └─ http
     ├─ upstream
     ├─ map
     └─ server
         └─ location

要清楚：指令作用域（哪些寫在 http，哪些只能在 server/location）。

3.server/location匹配規(guī)則

• listen + server_name 如何選虛擬主機(jī)
• location 優(yōu)先級(jí)：精確 = > 前綴 ^~ > 正則 ~/~* > 普通前綴
• root vs alias
• try_files（SPA、靜態(tài)站必備）

4. 反向代理核心

proxy_pass

proxy_set_header Host $host;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_set_header X-Forwarded-Proto $scheme;

proxy_connect_timeout

proxy_send_timeout

proxy_read_timeout

proxy_buffering

client_max_body_size

理解：

• proxy_pass 末尾有無 / 對(duì)路徑改寫的影響
• 為什么后端拿到的 IP/協(xié)議可能不對(duì)（沒傳 X-Forwarded-*）
• 超時(shí)、緩沖、大文件上傳失敗怎么查

5. 靜態(tài)與壓縮緩存

• expires / Cache-Control
• gzip / brotli
• sendfile、tcp_nopush、tcp_nodelay
• 靜態(tài)資源版本號(hào)與長(zhǎng)期緩存策略

6. HTTPS

• 證書、私鑰、中間證書鏈
• TLS 版本與 cipher（安全基線）
• HTTP/2、OCSP Stapling（進(jìn)階）
• 強(qiáng)制跳轉(zhuǎn)與 HSTS 風(fēng)險(xiǎn)（配錯(cuò)會(huì)“鎖死”域名）

7. 日志與排障

• access_log / error_log
• 自定義 log_format（加 request_id、上游耗時(shí)）
• 常見狀態(tài)碼：502/504（上游掛/超時(shí)）、413（上傳過大）、499（客戶端斷開）
• nginx -T 查看最終生效配置

B. 企業(yè)生產(chǎn)進(jìn)階（中高級(jí)）

8. 負(fù)載均衡與健康檢查

• upstream 權(quán)重、backup、down
• ip_hash / sticky（會(huì)話）
• 被動(dòng)失敗檢測(cè)：max_fails、fail_timeout
• 主動(dòng)健康檢查（開源版弱，商業(yè)版/OpenResty/Ingress 更強(qiáng)）

9. 限流限連與防刷

limit_req_zone $binary_remote_addr zone=api_limit:10m rate=10r/s;

limit_conn_zone $binary_remote_addr zone=addr:10m;

limit_req zone=api_limit burst=20 nodelay;

limit_conn addr 20;

理解：

• rate、burst、nodelay 含義
• 按 IP / 用戶 / API 維度限流
• 與 WAF、網(wǎng)關(guān)限流的分工

10. 安全加固

• 隱藏版本號(hào) server_tokens off
• 方法限制（禁 TRACE 等）
• IP allow/deny
• 危險(xiǎn)目錄禁止訪問（.git、備份文件）
• 請(qǐng)求頭大小、URI 長(zhǎng)度限制
• SSRF / 開放代理風(fēng)險(xiǎn)（錯(cuò)誤 proxy_pass 變量）
• TLS 與安全響應(yīng)頭：X-Frame-Options、CSP 等（常在 Nginx 統(tǒng)一加）

11. 改寫與路由

• rewrite、return
• map（強(qiáng)烈推薦，替代一堆 if）
• 為什么企業(yè)規(guī)范常寫：盡量少用 if

12. 變量與內(nèi)部機(jī)制

• $host / $http_host / $uri / $request_uri 區(qū)別
• $remote_addr vs 真實(shí)客戶端 IP（real_ip 模塊 + 可信代理）
• $upstream_addr、$upstream_status、$upstream_response_time

13. 性能調(diào)優(yōu)方向

• worker_processes、worker_connections
• 文件描述符上限
• keepalive 到上游：keepalive in upstream + proxy_http_version 1.1
• 緩沖與臨時(shí)文件（大響應(yīng)、慢客戶端）
• 連接耗盡、隊(duì)列打滿的表現(xiàn)

14. 配置工程化

企業(yè)不會(huì)手改一臺(tái)機(jī)器的 conf，而是：

• 配置分片：conf.d/、sites-enabled/
• Ansible / Salt / 鏡像構(gòu)建注入配置
• CI 里跑 nginx -t
• 灰度發(fā)布配置、回滾
• 模板化（Helm values → Ingress / ConfigMap）

C. 架構(gòu)關(guān)聯(lián)知識(shí)（理解“Nginx 在系統(tǒng)中的位置”）

15. 和周邊組件怎么分工

16. 微服務(wù) / K8s 必懂

• Ingress 規(guī)則與注解（超時(shí)、正文大小、會(huì)話親和）
• 服務(wù)發(fā)現(xiàn)變化時(shí)上游如何更新
• 就緒探針失敗時(shí)流量摘除
• WebSocket / gRPC 反代要點(diǎn)（升級(jí)頭、HTTP/2）

17. 可觀測(cè)性

• 訪問日志進(jìn) ELK / Loki
• 指標(biāo)：QPS、延遲、5xx、上游耗時(shí)（Prometheus exporter）
• Trace：注入 / 傳遞 X-Request-ID

三、按角色看“要學(xué)多深”

四、建議學(xué)習(xí)路徑（可執(zhí)行）

1. 本地搭一臺(tái)：靜態(tài)站 + 反代一個(gè)后端
2. 刻意練匹配：多個(gè) server_name / location，搞清誰命中
3. 上 HTTPS + 日志：自己看 access/error 定位問題
4. 加 upstream + 限流：模擬一臺(tái)掛掉、突發(fā)流量
5. 做一份生產(chǎn) checklist：超時(shí)、body 大小、真實(shí) IP、keepalive、安全頭
6. 再學(xué) Ingress / OpenResty：對(duì)應(yīng)云原生或復(fù)雜網(wǎng)關(guān)需求

五、企業(yè)生產(chǎn)配置 Checklist

上線前至少確認(rèn)：

1. nginx -t 通過，reload 無損
2. HTTPS 證書鏈完整，HTTP 自動(dòng)跳轉(zhuǎn)正確
3. Host / X-Forwarded-* / 真實(shí) IP 正確
4. client_max_body_size 與業(yè)務(wù)上傳一致
5. proxy_read_timeout 覆蓋最長(zhǎng)接口
6. 上游 keepalive 已開
7. 限流與連接數(shù)有兜底
8. 日志含 request id、上游狀態(tài)與耗時(shí)
9. 隱藏版本、禁敏感路徑
10. 502/504 有監(jiān)控告警與擴(kuò)容/摘除預(yù)案

總結(jié)

企業(yè)用 Nginx，本質(zhì)是“流量入口與流量治理”：反代、TLS、靜態(tài)、負(fù)載、限流、日志；
要掌握的核心，是配置模型 + 反代細(xì)節(jié) + 匹配規(guī)則 + 超時(shí)/頭/真實(shí) IP + 安全限流 + 排障與高可用，而不是背一堆指令。

三、Nginx 運(yùn)維 / SRE 版知識(shí)點(diǎn)清單

面向：日常接流量、排障、變更、?？捎眯浴?/p>

SRE 視角下 Nginx 的定位：

每天真正在管的是：

1. 入口是否可用（VIP / SLB / Ingress 后面的 Nginx）
2. 流量是否按預(yù)期路由（域名、路徑、灰度）
3. 后端是否被正確保護(hù)（超時(shí)、限流、隔離）
4. 出了問題能否 5 分鐘內(nèi)定位（日志、指標(biāo)、配置差量）

核心不是“會(huì)寫 conf”，而是：變更可控、故障可觀測(cè)、回滾可快速。

場(chǎng)景 A：新站點(diǎn) / 新域名上線

會(huì)做的事

• 加 server、證書、反代或靜態(tài)目錄
• 配 DNS / SLB 轉(zhuǎn)發(fā)
• 灰度切流、觀察 4xx/5xx

必會(huì)知識(shí)點(diǎn)

• listen / server_name 匹配（默認(rèn) server 陷阱）
• root vs alias、try_files（SPA）
• proxy_pass 路徑拼接規(guī)則（末尾 /）
• 證書全鏈、SAN、到期監(jiān)控
• HTTP→HTTPS、HSTS 啟用節(jié)奏（先觀察再強(qiáng)制）
• 上線前：nginx -t、reload、回滾文件準(zhǔn)備

驗(yàn)收標(biāo)準(zhǔn)

• 主備/多實(shí)例配置一致
• 訪問日志能區(qū)分新域名
• 證書監(jiān)控已接入
• 回滾步驟可一鍵執(zhí)行

場(chǎng)景 B：反代后端 API / 微服務(wù)

日常問題

• 502/504
• 上傳失敗 413
• 后端拿到錯(cuò) IP / 錯(cuò)協(xié)議
• 登錄態(tài)丟失、跨域異常

必會(huì)知識(shí)點(diǎn)：

proxy_http_version 1.1;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header Connection "";
proxy_connect_timeout 3s;
proxy_send_timeout 60s;
proxy_read_timeout 60s;
client_max_body_size 50m;

還要懂：

• 上游 keepalive（upstream { keepalive N; }）
• buffering 開/關(guān)對(duì)大響應(yīng)、TTFB 的影響
• WebSocket：Upgrade / Connection
• gRPC：grpc_pass、HTTP/2
• real_ip 模塊：從 SLB/CDN 取真實(shí)客戶端 IP（可信網(wǎng)段）

排障抓手

• $upstream_addr $upstream_status $upstream_response_time $request_time
• 區(qū)分：Nginx 慢 vs 上游慢 vs 客戶端慢

場(chǎng)景 C：負(fù)載均衡與摘流

日常操作

• 擴(kuò)容加節(jié)點(diǎn)、發(fā)布摘流、機(jī)器故障打 down
• 會(huì)話粘滯爭(zhēng)議（要不要 ip_hash）

必會(huì)知識(shí)點(diǎn)

• upstream：weight / backup / down
• max_fails + fail_timeout（被動(dòng)健康檢查局限）
• 算法：輪詢、least_conn、ip_hash
• 主動(dòng)健康檢查能力邊界（開源 vs Plus / 外部探活）
• 發(fā)布期：先摘流再停服務(wù)，避免 502 尖刺
• 與注冊(cè)中心/K8s endpoint 變更的時(shí)序

SRE 原則

• 摘流要可腳本化，禁止只改一臺(tái)忘了集群
• 發(fā)布窗口看：5xx、上游耗時(shí)、飽和連接數(shù)

場(chǎng)景 D：靜態(tài)資源 / 前端發(fā)布

日常操作

• 發(fā) dist、回滾靜態(tài)版本
• 緩存導(dǎo)致“發(fā)了但用戶看不到”

必會(huì)知識(shí)點(diǎn)

• expires / Cache-Control / etag
• HTML 短緩存或不緩存，帶 hash 的 JS/CSS 長(zhǎng)緩存
• gzip/brotli、sendfile
• 原子發(fā)布：新目錄 + 切換 symlink，避免半發(fā)布
• CDN 回源與源站緩存頭一致性

場(chǎng)景 E：HTTPS / 證書生命周期

日常操作

• 申請(qǐng)/續(xù)期/替換證書
• 協(xié)議版本、弱加密治理
• 雙證書（RSA + ECDSA）偶發(fā)

必會(huì)知識(shí)點(diǎn)

• 證書鏈不完整導(dǎo)致部分客戶端失敗
• ssl_certificate / ssl_certificate_key
• TLS1.2/1.3、cipher 套件基線
• OCSP Stapling
• 到期告警（30/14/7 天）
• 替換證書是否需要 reload、多機(jī)同步

事故高發(fā)點(diǎn)

• 只更了一臺(tái)
• 中間證丟了
• HSTS 預(yù)加載后證書搞砸（恢復(fù)極痛）

到此這篇關(guān)于Nginx的概述和使用清單的文章就介紹到這了,更多相關(guān)nginx介紹和使用內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評(píng)論