woner's blog

Nginx 反向代理：一篇就够了

技术 DevOps
字数统计: 1.8k阅读时长: 7 min
2026/07/15
loading

你有没有过这样的时刻——

买了一台云服务器，兴致勃勃搭好了博客，过两天又想跑个私人音乐服务，再过几天又挂了个图床。然后发现这些服务各自占一个端口：http://你的域名:3000、http://你的域名:8080、http://你的域名:9000……地址栏里一串数字，既不优雅，又难记。

更麻烦的是，HTTPS 证书怎么配？3000 端口一个证书、8080 又一个？要疯。

这时候你就需要 Nginx 反向代理了。

什么是反向代理？

用大白话说：反向代理就是你网站的前台接待员。

所有访客都来到 https://你的域名，接待员根据访客想去的地方，把他们引到背后对应的服务去处理。

1
2
3
                                         ┌─ Blog (Hexo, 静态文件)
访客 → https://xijun.qd.je ─→ Nginx ──┼─ Music API (Node.js, :3000)
                                         └─ 图床 (其他服务, :8080)

访客全程只知道 https://xijun.qd.je 这一个地址。背后的端口、技术栈、内部细节全被 Nginx 遮挡了。

反向是相对于正向代理而言的。正向代理是你替客户端出头（比如翻墙），反向代理是替服务器出头。现在你到任何一个大网站，背后几乎都是用反向代理来承接流量的。

为什么要用反向代理？

不绕弯子，四个核心好处：

1. 统一入口 + 优雅路由

把 http://你的域名:3000 变成 http://你的域名/music/。一个域名走天下，端口号从此消失。

2. SSL 终结（SSL Termination）

证书只需在 Nginx 这一层配一次。Nginx 背后的服务可以继续用 HTTP 通信，加解密这种消耗 CPU 的活交给 Nginx 干。所有服务自动享受 HTTPS。

3. 负载均衡

流量大了、一台机器扛不住时，Nginx 可以把请求分发到多台后端服务器上，自带轮询、最少连接、IP 哈希等策略。

4. 安全隔离

外部无法直接访问你的后端服务。Nginx 可以过滤恶意请求、限制访问速率、屏蔽可疑 IP。后端服务甚至可以只监听 127.0.0.1，完全暴露在公网之外。

Nginx 反向代理配置实战

下面用你服务器上的真实场景来写配置。假设你的博客跑在 Nginx 的根路径下，音乐 API 跑在 localhost:3000。

最基本的反代配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
server {
    listen 80;
    server_name xijun.qd.je;

    location / {
        # 静态博客（Hexo 生成的 public 目录）
        root /home/admin/blog-demo/public;
        index index.html;
    }

    location /music/ {
        # 反向代理到本地的音乐 API
        proxy_pass http://127.0.0.1:3000/;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

注意一个细节：proxy_pass 后面的 URL 带不带末尾的 / 差别很大。

  • proxy_pass http://127.0.0.1:3000/; — 末尾有 /，Nginx 会把匹配到的 location 部分替换掉。请求 /music/api/songs 会变成 http://127.0.0.1:3000/api/songs
  • proxy_pass http://127.0.0.1:3000; — 末尾无 /，Nginx 会拼接。请求 /music/api/songs 会变成 http://127.0.0.1:3000/music/api/songs

大多数情况下你想要的是第一种（带 /）。

添加 HTTPS

有了反代配置，加 HTTPS 只需要在 server block 里加几行：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
server {
    listen 443 ssl;
    server_name xijun.qd.je;

    ssl_certificate     /etc/nginx/ssl/xijun.qd.je.pem;
    ssl_certificate_key /etc/nginx/ssl/xijun.qd.je.key;

    # 推荐配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    # 后面的 location 块和上面一样
    location / { ... }
    location /music/ { ... }
}

# HTTP 自动跳转 HTTPS
server {
    listen 80;
    server_name xijun.qd.je;
    return 301 https://$host$request_uri;
}

加上之后，所有 HTTP 请求自动跳转到 HTTPS，证书一次配完全站受益。

代理 WebSocket

如果你的后端服务跑的是 WebSocket（比如即时聊天、实时通知），常规的 proxy_pass 不够，需要额外加两个 header：

1
2
3
4
5
6
location /ws/ {
    proxy_pass http://127.0.0.1:3001/;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

这个配置很重要，很多人配 WebSocket 反代翻车就翻在忘了 proxy_http_version 1.1。HTTP/1.0 不支持 WebSocket 升级。

大文件上传

如果你的后端涉及文件上传，Nginx 默认限制 1MB 请求体。需要调整：

1
2
3
4
5
location /upload/ {
    proxy_pass http://127.0.0.1:8080/;
    client_max_body_size 50m;       # 允许上传最大 50MB
    client_body_buffer_size 128k;   # 缓冲区大小
}

超时调整

有些后端接口处理时间长（比如 AI 推理、视频转码），Nginx 默认 60 秒超时会断掉连接：

1
2
3
4
5
6
location /api/ {
    proxy_pass http://127.0.0.1:4000/;
    proxy_connect_timeout   60s;
    proxy_read_timeout      300s;   # 等待后端响应最长时间
    proxy_send_timeout      60s;
}

进阶技巧

用 upstream 做负载均衡

如果同一个服务跑了多个实例：

1
2
3
4
5
6
7
8
9
10
11
upstream backend_servers {
    server 127.0.0.1:3001 weight=3;
    server 127.0.0.1:3002 weight=1;
    server 10.0.0.2:3001 weight=2;
}

server {
    location /api/ {
        proxy_pass http://backend_servers/;
    }
}

weight 参数控制流量分配比例。不设置则等权轮询。

Nginx 还支持 ip_hash（同一 IP 始终发给同一台服务器——对有状态应用有用）、least_conn（发给当前连接数最少的服务器）等负载策略。

缓存后端响应

对于不常变化的后端响应，可以在 Nginx 层缓存，减轻后端压力：

1
2
3
4
5
6
7
8
proxy_cache_path /tmp/nginx_cache levels=1:2 keys_zone=my_cache:10m max_size=1g;

location /api/ {
    proxy_cache my_cache;
    proxy_cache_valid 200 302 10m;
    proxy_cache_valid 404 1m;
    proxy_pass http://backend/;
}

速率限制

防止某个路由被疯狂刷：

1
2
3
4
5
6
limit_req_zone $binary_remote_addr zone=mylimit:10m rate=5r/s;

location /api/ {
    limit_req zone=mylimit burst=10 nodelay;
    proxy_pass http://backend/;
}

每秒最多 5 个请求，允许突发 10 个。超过的直接返回 503。

调试技巧

配置反代时如果翻车了，以下命令能帮你快速定位：

1
2
3
4
5
6
7
8
9
10
11
12
# 检查配置语法
nginx -t

# 查看具体请求的路由和代理情况
curl -v http://localhost/music/api/songs

# 实时看 Nginx 日志
tail -f /var/log/nginx/access.log
tail -f /var/log/nginx/error.log

# 如果你用了 docker 版 Nginx
docker exec -it nginx-container tail -f /var/log/nginx/access.log

大部分反代翻车的原因就几个：

  • proxy_pass 末尾的 / 搞反了 — 这是最频繁的翻车点
  • 忘记转发 Host header — 后端根据 Host 做路由时会挂
  • HTTPS 证书路径配错 — Nginx 启动时检查证书存在性，路径不对直接拒绝启动
  • 防火墙没放通 — 后端端口被 iptables 或云服务商安全组挡了

小总结

Nginx 反向代理的价值用一个场景就能说清楚：

假设你的服务器上跑了 5 个服务，它们分布在不同的端口上。没有反代，你要记 5 个端口号、给 5 个服务分别配 HTTPS 证书、维护 5 个访问策略。有了反代，所有东西归到一个入口、一张证书、一套规则里管理。

它像是一种编程里的「抽象」——在你和复杂的后端系统之间加了一层简洁的接口。

刚接触的人可能觉得多了一层东西，反而复杂了。但等你配好一劳永逸之后，再回头看那些端口号直接暴露的日子，你会觉得——早该这么做。

回到最初的问题：怎么让 :3000、:8080、:9000 全部消失？

答案：在它们前面站一个 Nginx。

不只是让端口消失，更是让你的基础设施有了一个统一的「大门」。小到个人博客，大到淘宝京东，入口处站的本质上都是同一类东西——反向代理。

原文作者：woner

原文链接：http://example.com/writings/nginx-reverse-proxy/

发表日期：July 15th 2026, 9:00:00 pm

更新日期：July 15th 2026, 6:39:28 pm

版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

CATALOG
  1. 1. 什么是反向代理？
  2. 2. 为什么要用反向代理？
    1. 2.1. 1. 统一入口 + 优雅路由
    2. 2.2. 2. SSL 终结（SSL Termination）
    3. 2.3. 3. 负载均衡
    4. 2.4. 4. 安全隔离
  3. 3. Nginx 反向代理配置实战
    1. 3.1. 最基本的反代配置
    2. 3.2. 添加 HTTPS
    3. 3.3. 代理 WebSocket
    4. 3.4. 大文件上传
    5. 3.5. 超时调整
  4. 4. 进阶技巧
    1. 4.1. 用 upstream 做负载均衡
    2. 4.2. 缓存后端响应
    3. 4.3. 速率限制
  5. 5. 调试技巧
  6. 6. 小总结
Total : 8
2026
2025
古文 心理学 科普 技术 网络 DevOps Linux 生活 社会