Nginx是一款高性能的HTTP和反向代理服务器以高并发、低内存占用著称目前占据Web服务器市场份额首位。在生产环境中Nginx通常作为入口网关承担反向代理、负载均衡、静态资源服务、SSL终结、限流防刷等职责。本文从基础配置入手系统讲解反向代理、负载均衡、性能优化、安全加固和高可用部署的实战要点。一、Nginx核心架构与配置结构Nginx采用事件驱动的异步非阻塞架构一个master进程管理多个worker进程worker进程通过epollLinux处理并发连接。单个worker进程可以处理数万并发连接内存占用极低。配置文件nginx.conf采用块级结构全局块配置worker进程数、日志路径等events块配置事件模型和连接数http块配置HTTP服务包含upstream、server、location等子块。# 核心配置结构user nginx;worker_processes auto; # 自动设置为CPU核心数error_log /var/log/nginx/error.log warn;pid /var/run/nginx.pid;events {use epoll; # Linux下使用epoll事件模型worker_connections 10240; # 每个worker的最大连接数multi_accept on; # 一次接受多个新连接}http {include /etc/nginx/mime.types;default_type application/octet-stream;# 日志格式log_format main $remote_addr - $remote_user [$time_local] $request $status $body_bytes_sent $http_referer $http_user_agent rt$request_time uct$upstream_connect_time urt$upstream_response_time;access_log /var/log/nginx/access.log main;sendfile on;tcp_nopush on;tcp_nodelay on;keepalive_timeout 65;client_max_body_size 20m;include /etc/nginx/conf.d/*.conf;}二、反向代理配置反向代理是Nginx最核心的功能。客户端请求到达Nginx后Nginx将请求转发给后端服务再将响应返回给客户端。配置反向代理需要使用proxy_pass指令指定后端地址同时通过proxy_set_header传递客户端真实IP、Host等信息。生产环境中还需要配置代理超时、缓冲区、WebSocket支持等参数。server {listen 80;server_name api.example.com;location / {proxy_pass http://backend;proxy_http_version 1.1;# 传递真实客户端信息proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;# 超时设置proxy_connect_timeout 5s;proxy_send_timeout 30s;proxy_read_timeout 30s;# 缓冲区设置proxy_buffering on;proxy_buffer_size 4k;proxy_buffers 8 4k;# WebSocket支持proxy_set_header Upgrade $http_upgrade;proxy_set_header Connection upgrade;}}三、负载均衡策略Nginx通过upstream块定义后端服务器组支持多种负载均衡算法。轮询round-robin是默认算法按顺序将请求分配给后端服务器加权轮询weight根据权重分配性能好的服务器分配更多请求ip_hash根据客户端IP哈希分配保证同一客户端始终访问同一后端适合会话保持least_conn将请求分配给当前连接数最少的服务器url_hash根据URL哈希分配适合缓存场景。upstream backend {# 加权轮询server 192.168.1.10:8080 weight3 max_fails3 fail_timeout10s;server 192.168.1.11:8080 weight2 max_fails3 fail_timeout10s;server 192.168.1.12:8080 weight1 backup; # 备用服务器keepalive 32; # 保持与后端的长连接数}# ip_hash模式upstream backend_session {ip_hash;server 192.168.1.10:8080;server 192.168.1.11:8080;}健康检查是负载均衡的重要组成部分。Nginx开源版通过max_fails和fail_timeout实现被动健康检查当某台服务器连续失败max_fails次后在fail_timeout时间内不再向其转发请求。主动健康检查需要Nginx Plus商业版或使用第三方模块如nginx_upstream_check_module。生产环境建议至少配置被动健康检查避免将请求转发到已宕机的服务器。负载算法分配方式会话保持适用场景round-robin按顺序轮询不支持后端性能一致、无状态服务weight按权重比例不支持后端性能差异大ip_hash客户端IP哈希支持需要会话保持的场景least_conn最少连接数不支持请求处理时间差异大url_hashURL哈希不支持缓存服务器、CDN回源四、性能优化要点4.1 静态资源优化Nginx处理静态资源的能力极强。优化手段包括开启sendfile直接在内核空间发送文件避免用户态和内核态之间的数据拷贝开启gzip压缩减少传输体积对文本类文件压缩率可达60%到70%设置expires缓存头让浏览器缓存静态资源对于图片等不需要压缩的文件关闭gzip避免浪费CPU。# gzip压缩gzip on;gzip_min_length 1k;gzip_comp_level 6;gzip_types text/plain text/css application/json application/javascripttext/xml application/xml application/xmlrss text/javascript;gzip_vary on;# 静态资源缓存location ~* \.(css|js|png|jpg|jpeg|gif|ico|svg|woff2?)$ {root /usr/share/nginx/html;expires 30d;add_header Cache-Control public, immutable;}4.2 长连接与连接复用客户端到Nginx的长连接通过keepalive_timeout控制默认75秒。Nginx到后端服务的长连接需要在upstream中配置keepalive指令并在location中设置proxy_http_version 1.1和清空Connection头。长连接可以避免频繁建立TCP连接和TLS握手的开销对高并发场景性能提升明显。4.3 系统级优化Nginx性能还受操作系统参数限制。需要调整的关键参数包括ulimit -n文件描述符上限高并发时需要调大到65535以上、net.core.somaxconnTCP连接队列长度、net.ipv4.tcp_tw_reuse允许TIME_WAIT状态的socket重新用于新连接、net.ipv4.ip_local_port_range本地端口范围。这些参数通过/etc/sysctl.conf永久配置。五、安全加固Nginx作为入口网关安全加固至关重要。第一隐藏版本号设置server_tokens off避免攻击者利用已知版本漏洞。第二配置HTTPS使用TLS 1.2以上版本禁用不安全的加密套件配置HSTS头强制HTTPS。第三限流防刷通过limit_req_zone限制单IP请求速率limit_conn_zone限制单IP连接数。第四禁止访问敏感文件通过location块拒绝访问.git、.env、备份文件等。第五配置安全响应头如X-Frame-Options、X-Content-Type-Options、Content-Security-Policy。# 限流配置limit_req_zone $binary_remote_addr zoneapi_limit:10m rate10r/s;limit_conn_zone $binary_remote_addr zoneconn_limit:10m;server {location /api/ {limit_req zoneapi_limit burst20 nodelay;limit_conn conn_limit 20;# 安全响应头add_header X-Frame-Options SAMEORIGIN always;add_header X-Content-Type-Options nosniff always;add_header X-XSS-Protection 1; modeblock always;}# 禁止访问敏感文件location ~ /\.(git|env|htaccess|htpasswd) {deny all;}}六、高可用部署单台Nginx存在单点故障风险。生产环境通常采用Keepalived Nginx的高可用方案两台Nginx服务器配置相同通过Keepalived维护一个虚拟IPVIP主节点正常时VIP绑定在主节点上主节点故障时VIP自动漂移到备节点。Keepalived通过VRRP协议实现配置简单切换时间通常在1到3秒。对于更大规模的流量可以在Nginx前面再挂一层DNS轮询或云负载均衡SLB/ALB实现多活部署。结语Nginx的高性能来自其事件驱动架构和精心设计的配置体系。掌握反向代理、负载均衡、静态资源优化、安全加固和高可用部署就能构建出稳定高效的Web入口层。建议在测试环境用压测工具如wrk、ab验证配置效果根据实际业务场景调整参数。Nginx配置修改后务必用nginx -t测试语法再reload重载避免配置错误导致服务中断。