Nginx反向代理配置实操：从入门到精通，让服务部署更高效

快小二编导 2026-07-25 17:24:57 技术教程

在现代Web架构中，反向代理是实现负载均衡、服务隐藏、SSL终端和请求转发的核心技术之一。而Nginx作为轻量级、高性能的Web服务器，凭借其高并发处理能力和灵活的配置机制，成为反向代理的首选工具。本文将从反向代理的基本概念出发，结合实际场景，手把手教你完成Nginx反向代理的配置，让你快速掌握这一必备技能。

一、先搞懂：什么是反向代理？

在开始配置之前，我们需要明确正向代理与反向代理的区别——这是理解Nginx反向代理的关键：

正向代理：代理客户端（比如你用VPN访问国外网站，VPN就是正向代理，替你向目标服务器发起请求）；
反向代理：代理服务器端（用户请求先到反向代理服务器，再由它转发到内部的业务服务器，用户看不到真实的业务服务器地址）。

反向代理的核心价值在于：

隐藏真实服务：保护内部服务器不直接暴露在公网，提升安全性；
负载均衡：将请求分发到多台服务器，避免单台服务器压力过大；
SSL终端：由反向代理处理HTTPS加密/解密，减轻业务服务器负担；
静态资源缓存：将静态文件（如图片、CSS）缓存到代理服务器，加速访问。

二、准备工作：环境与工具

在配置前，确保你已完成以下准备：

Nginx安装：
- CentOS/RHEL：yum install nginx -y
- Ubuntu/Debian：apt update && apt install nginx -y
- 验证安装：nginx -v（显示版本号则成功）。
测试服务：准备一个后端服务（比如用Python Flask写一个简单的Web服务，端口设为5000），用于接收反向代理的请求。
示例Flask服务（保存为app.py）：
```
from flask import Flask
app = Flask(__name__)
@app.route('/')
def hello():
   return "Hello from Flask backend!"
if __name__ == '__main__':
   app.run(host='0.0.0.0', port=5000)
```
启动服务：python3 app.py，此时访问http://localhost:5000应能看到返回内容。

三、核心配置：单后端服务的反向代理

Nginx的配置文件默认位于/etc/nginx/nginx.conf，但更推荐在/etc/nginx/conf.d/目录下创建独立的配置文件（如proxy.conf），避免修改主配置带来的风险。

1. 基础反向代理配置

编辑/etc/nginx/conf.d/proxy.conf，添加以下内容：

server {
    listen 80;  # 反向代理服务器监听80端口
    server_name your_domain.com;  # 你的域名（或IP地址，如192.168.1.100）

    # 反向代理核心配置
    location / {
        proxy_pass http://127.0.0.1:5000;  # 转发到后端Flask服务的地址
        proxy_set_header Host $host;  # 传递原始请求的Host头
        proxy_set_header X-Real-IP $remote_addr;  # 传递客户端真实IP
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;  # 记录代理链
        proxy_set_header X-Forwarded-Proto $scheme;  # 传递请求协议（http/https）
    }
}

2. 配置解释

listen：Nginx反向代理服务器监听的端口（通常是80或443）；
server_name：绑定的域名或IP，用户通过这个地址访问反向代理；
location /：匹配所有请求路径（也可以指定特定路径，如/api）；
proxy_pass：关键指令，指定后端服务的地址（必须以http://或https://开头）；
proxy_set_header：设置请求头，让后端服务能获取到原始请求的信息（比如客户端IP）。

3. 验证配置

配置完成后，执行以下步骤验证：

检查Nginx配置是否有误：nginx -t（显示test is successful则正确）；
重启Nginx生效：systemctl restart nginx；
测试访问：在浏览器或终端输入http://your_domain.com（或你的IP），如果看到“Hello from Flask backend!”，说明反向代理配置成功！

四、进阶配置：多后端与负载均衡

如果你的业务有多个后端服务器（比如2台Flask服务，端口分别为5000和5001），可以通过Nginx的upstream模块实现负载均衡。

1. 配置负载均衡池

修改proxy.conf，先定义一个后端服务器池：

# 定义后端服务器池，名称为backend_servers
upstream backend_servers {
    server 127.0.0.1:5000 weight=1;  # weight表示权重，数值越大，分配的请求越多
    server 127.0.0.1:5001 weight=1;
    # 可选：添加健康检查（Nginx Plus支持，开源版需借助第三方模块，如ngx_http_healthcheck_module）
    # server 127.0.0.1:5002 down;  # down表示该服务器暂时不可用
}

server {
    listen 80;
    server_name your_domain.com;

    location / {
        proxy_pass http://backend_servers;  # 转发到定义的服务器池
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

2. 负载均衡策略

Nginx默认使用轮询策略（按顺序分配请求），还支持以下策略：

weight：加权轮询（如上述配置）；
ip_hash：根据客户端IP哈希分配，同一IP始终转发到同一服务器（解决会话保持问题）；
least_conn：优先转发到连接数最少的服务器；
url_hash：根据请求URL哈希分配（需安装ngx_http_upstream_hash_module）。

示例ip_hash配置：

upstream backend_servers {
    ip_hash;  # 启用IP哈希策略
    server 127.0.0.1:5000;
    server 127.0.0.1:5001;
}

五、高级场景：HTTPS反向代理

现在大多数网站都使用HTTPS，Nginx可以作为SSL终端，处理证书加密/解密，再将明文请求转发给后端服务。

1. 准备SSL证书

你需要一个SSL证书（可以通过Let’s Encrypt免费获取），假设证书文件为：

证书：/etc/nginx/ssl/your_domain.crt
私钥：/etc/nginx/ssl/your_domain.key

2. 配置HTTPS反向代理

修改proxy.conf，添加HTTPS服务器块：

server {
    listen 443 ssl;
    server_name your_domain.com;

    # SSL配置
    ssl_certificate /etc/nginx/ssl/your_domain.crt;
    ssl_certificate_key /etc/nginx/ssl/your_domain.key;
    ssl_protocols TLSv1.2 TLSv1.3;  # 启用安全的TLS版本
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512;  # 强加密算法
    ssl_prefer_server_ciphers on;  # 优先使用服务器端的加密算法

    location / {
        proxy_pass http://backend_servers;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto https;  # 传递HTTPS协议
    }
}

# 强制HTTP跳转到HTTPS
server {
    listen 80;
    server_name your_domain.com;
    return 301 https://$host$request_uri;
}

3. 验证HTTPS

重启Nginx后，访问https://your_domain.com，浏览器应显示安全锁，且能正常返回后端服务内容。

六、常见问题与排查

Nginx启动失败：
用nginx -t检查配置语法错误，常见问题包括：proxy_pass后没有加http://、端口被占用（用netstat -tulpn | grep 80查看）。
后端服务无法访问：
检查后端服务是否正常运行（ps aux | grep python），以及Nginx是否有权限访问后端端口（防火墙是否开放，如firewall-cmd --add-port=5000/tcp --permanent）。
客户端IP获取错误：
后端服务如果获取到的是Nginx的IP（如127.0.0.1），需确保配置了proxy_set_header X-Real-IP $remote_addr和X-Forwarded-For，并在后端服务中读取这些头信息（比如Flask中用request.headers.get('X-Real-IP')）。