这次我们来看一个 NGINX 从入门到实战的完整指南。NGINX 作为一款高性能的 HTTP 和反向代理服务器几乎是现代 Web 架构的基石。无论你是想搭建个人网站还是需要为公司的微服务架构提供负载均衡和反向代理NGINX 都是绕不开的核心组件。这篇文章的重点不是空谈概念而是让你能立刻动手从零开始完成 NGINX 的安装、配置并实现负载均衡、反向代理等核心功能最后还会探讨性能优化的关键点。我们会重点关注配置文件的写法、服务启动方式、常见问题的排查以及如何通过简单的配置提升服务稳定性。如果你关心如何让 Web 服务更可靠、更高效这篇文章可以直接收藏。1. 核心能力速览在深入细节之前我们先快速了解 NGINX 的核心能力这决定了它适合解决哪些问题。能力项说明项目类型高性能 Web 服务器 / 反向代理服务器 / 负载均衡器 / 邮件代理服务器主要功能静态资源服务、反向代理、负载均衡、SSL/TLS 终止、HTTP/2 支持、访问控制、URL 重写、Gzip 压缩等推荐硬件对硬件要求极低普通云服务器或虚拟机即可运行性能瓶颈通常在于网络和磁盘 I/O。内存占用内存占用小一个工作进程通常在几 MB 到几十 MB具体取决于连接数和配置的模块。支持平台Linux (主要)、Windows、macOS、BSD 等。生产环境以 Linux 为主。启动方式通过系统服务systemd或命令行直接启动。配置文件热重载无需重启服务。是否支持 API原生 NGINX 主要通过配置文件管理。商业版 NGINX Plus 提供 REST API 和动态配置。开源版可通过nginx -s信号管理或结合第三方模块实现部分 API 功能。是否支持批量任务本身是常驻服务不直接处理“批量任务”。但其负载均衡功能可视为将请求“批量”分发到后端服务器。日志分析、证书管理等可通过脚本批量操作。适合场景个人博客/网站托管、API 网关、微服务入口、动静分离、高可用集群负载均衡、SSL 卸载、缓存加速等。2. 适用场景与使用边界NGINX 功能强大但并非万能。明确它的适用场景和边界能帮助你做出更合适的技术选型。适合谁用前端开发者需要快速部署静态网站或 SPA单页应用。后端开发者需要为 Java/Python/Go 等应用提供反向代理实现统一的入口和负载均衡。运维工程师构建高可用、可扩展的 Web 服务架构进行流量管理和安全加固。架构师设计微服务网关、API 聚合层或全局流量调度方案。能解决什么问题高并发连接处理采用事件驱动、异步非阻塞架构能轻松应对数万甚至数十万的并发连接远超传统的 Apache 服务器基于进程/线程模型。资源高效利用极低的内存消耗和 CPU 占用让单台服务器能承载更多服务。业务解耦与安全通过反向代理隐藏后端服务器的真实 IP 和端口提升安全性。同时前端NGINX和后端应用服务器可以独立部署、升级。提升可用性与扩展性通过负载均衡将流量分发到多个后端实例避免单点故障并能水平扩展应用处理能力。优化用户体验通过 Gzip 压缩、静态文件缓存、SSL 加速等功能显著降低页面加载时间。不适合什么场景高度动态、会话复杂的应用直接处理NGINX 本身不擅长执行像 PHP、JSP 这样的服务器端脚本。它通常作为反向代理将动态请求转发给后端的 Apache、Tomcat、uWSGI、Gunicorn 等应用服务器。需要复杂业务逻辑的 API 网关虽然 NGINX 可以通过location和rewrite做简单的路由但对于复杂的鉴权、限流、熔断、API 聚合等需求可能需要结合 Lua 脚本OpenResty或使用更专业的 API 网关如 Kong, APISIX它们基于 NGINX/OpenResty。替代数据库或消息队列NGINX 是 Web 服务器/代理不是数据持久化或异步通信工具。安全与合规边界配置安全错误的配置可能导致目录遍历、信息泄露等安全风险。必须遵循最小权限原则定期审计配置文件。访问控制务必配置好allow/deny规则、防火墙防止未授权访问。SSL/TLS 安全使用强加密套件及时更新 SSL 证书禁用不安全的协议如 SSLv2, SSLv3和加密算法。日志与监控开启访问日志和错误日志用于安全审计和故障排查。注意日志中可能包含敏感信息如 URL 参数需按合规要求处理。3. 环境准备与前置条件在开始安装 NGINX 之前请确保你的环境满足以下基本要求。本文将以最常用的Linux 系统Ubuntu/CentOS为例进行说明。操作系统推荐Ubuntu 20.04/22.04 LTS, CentOS 7/8, Rocky Linux 8/9 等主流 Linux 发行版。也可用Windows用于开发测试生产环境不推荐 macOS。权限要求你需要拥有系统的root 权限或sudo 权限以便安装软件包和操作服务。网络连通性确保服务器可以访问互联网以下载安装包或者你已经准备好了本地软件源。端口占用检查NGINX 默认监听 80HTTP和 443HTTPS端口。在安装前检查这些端口是否被其他程序如 Apache, Tomcat占用。# 检查80和443端口占用情况 sudo netstat -tulpn | grep -E ‘:(80|443)\s’ # 或使用 ss 命令 sudo ss -tulpn | grep -E ‘:(80|443)’如果端口被占用你需要停止相关服务或为 NGINX 配置其他监听端口。防火墙配置如果系统防火墙如firewalld或ufw已开启需要放行 HTTP(80) 和 HTTPS(443) 端口。# 对于 firewalld (CentOS/RHEL) sudo firewall-cmd --permanent --add-servicehttp sudo firewall-cmd --permanent --add-servicehttps sudo firewall-cmd --reload # 对于 ufw (Ubuntu) sudo ufw allow ‘Nginx Full’ # 通常预定义了此规则包含80和443 # 或手动添加 sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw reload4. 安装部署与启动方式NGINX 的安装非常简便主流 Linux 发行版都提供了预编译的软件包。我们推荐使用官方源或发行版仓库安装以获得稳定的版本和自动更新。4.1 在 Ubuntu/Debian 上安装# 1. 更新软件包列表 sudo apt update # 2. 安装 NGINX sudo apt install nginx -y # 3. 安装完成后NGINX 会自动启动。验证服务状态 sudo systemctl status nginx如果状态显示active (running)并且通过curl -I http://localhost能返回200 OK说明安装成功。4.2 在 CentOS/RHEL/Rocky Linux 上安装对于 CentOS 8 及更高版本包括 Rocky Linux默认仓库可能不包含 NGINX需要先添加 EPEL 仓库或 NGINX 官方仓库。# 方法一使用 EPEL 仓库 (版本可能较旧但稳定) sudo yum install epel-release -y sudo yum install nginx -y # 方法二使用 NGINX 官方仓库 (获取最新稳定版) # 创建仓库文件 sudo vi /etc/yum.repos.d/nginx.repo将以下内容粘贴到nginx.repo文件中以 CentOS 为例[nginx-stable] namenginx stable repo baseurlhttp://nginx.org/packages/centos/$releasever/$basearch/ gpgcheck1 enabled1 gpgkeyhttps://nginx.org/keys/nginx_signing.key module_hotfixestrue保存退出后执行安装sudo yum install nginx -y sudo systemctl start nginx sudo systemctl enable nginx # 设置开机自启 sudo systemctl status nginx4.3 通过源码编译安装高级如果你需要特定的第三方模块或自定义功能可以选择源码编译。步骤相对复杂# 1. 安装编译依赖 sudo apt install build-essential libpcre3 libpcre3-dev zlib1g zlib1g-dev libssl-dev -y # Ubuntu # sudo yum install gcc pcre pcre-devel zlib zlib-devel openssl openssl-devel -y # CentOS # 2. 下载源码包 (以稳定版 1.24.0 为例) wget https://nginx.org/download/nginx-1.24.0.tar.gz tar -zxvf nginx-1.24.0.tar.gz cd nginx-1.24.0 # 3. 配置编译选项 (示例添加 http_sub_module) ./configure --prefix/usr/local/nginx \ --with-http_ssl_module \ --with-http_sub_module \ --with-http_stub_status_module # 4. 编译并安装 make sudo make install # 5. 启动 (源码安装的 NGINX 默认没有 systemd 服务文件需要手动启动) sudo /usr/local/nginx/sbin/nginx4.4 关键目录与文件说明安装完成后了解以下关键路径主配置文件/etc/nginx/nginx.conf(包管理安装) 或/usr/local/nginx/conf/nginx.conf(源码安装)。站点配置目录/etc/nginx/conf.d/或/etc/nginx/sites-available//etc/nginx/sites-enabled/(Ubuntu)。默认网站根目录/usr/share/nginx/html或/var/www/html。日志文件访问日志/var/log/nginx/access.log错误日志/var/log/nginx/error.log。可执行文件/usr/sbin/nginx(包管理安装) 或/usr/local/nginx/sbin/nginx(源码安装)。5. 基础配置与静态网站服务安装成功后我们先从最简单的静态网站服务开始理解 NGINX 配置的基本结构。5.1 配置文件结构解析打开主配置文件/etc/nginx/nginx.conf你会看到类似下面的结构# 全局块设置影响nginx整体运行的指令 user nginx; worker_processes auto; # 工作进程数通常设为CPU核心数 error_log /var/log/nginx/error.log warn; pid /var/run/nginx.pid; # Events块设置网络连接相关参数 events { worker_connections 1024; # 每个工作进程的最大连接数 # use epoll; # Linux高效网络模型 } # Http块最重要的配置部分可以嵌套多个Server块 http { include /etc/nginx/mime.types; # 包含MIME类型定义文件 default_type application/octet-stream; # 日志格式定义 log_format main ‘$remote_addr - $remote_user [$time_local] “$request” ‘ ‘$status $body_bytes_sent “$http_referer” ‘ ‘“$http_user_agent” “$http_x_forwarded_for”’; access_log /var/log/nginx/access.log main; sendfile on; # 开启高效文件传输模式 tcp_nopush on; # 防止网络阻塞 keepalive_timeout 65; # 长连接超时时间 # 包含其他配置文件 include /etc/nginx/conf.d/*.conf; # include /etc/nginx/sites-enabled/*; # Ubuntu风格 }5.2 配置一个简单的静态站点我们通常在/etc/nginx/conf.d/目录下为每个站点创建一个独立的.conf文件例如my_site.conf。sudo vi /etc/nginx/conf.d/my_site.conf写入以下内容server { listen 80; # 监听80端口 server_name mydomain.com www.mydomain.com; # 你的域名本地测试可用 localhost # 网站根目录 root /var/www/my_site; index index.html index.htm; location / { try_files $uri $uri/ 404; # 尝试按顺序寻找文件都找不到则返回404 } # 可选的静态资源缓存设置 location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ { expires 30d; # 客户端缓存30天 add_header Cache-Control “public, immutable”; } # 错误页面定制 error_page 404 /404.html; location /404.html { internal; } }操作步骤创建网站根目录并放入一个index.html文件。sudo mkdir -p /var/www/my_site echo “h1Hello, NGINX!/h1” | sudo tee /var/www/my_site/index.html检查配置文件语法是否正确。sudo nginx -t如果输出syntax is ok和test is successful说明配置无误。重新加载 NGINX 配置使新站点生效。sudo nginx -s reload # 或使用 systemctl sudo systemctl reload nginx效果验证在浏览器访问http://你的服务器IP或配置的域名应该能看到 “Hello, NGINX!” 的页面。同时检查日志文件tail -f /var/log/nginx/access.log可以看到访问记录。6. 核心实战反向代理配置反向代理是 NGINX 最常用的功能之一。它接收客户端的请求然后将请求转发给内部网络上的后端服务器并将得到的结果返回给客户端。对外而言客户端感知不到后端服务器的存在。6.1 为什么需要反向代理隐藏后端服务保护应用服务器的安全。负载均衡将请求分发到多个后端服务器。统一入口多个服务可以通过不同路径/api/,/app/统一由 NGINX 代理。SSL 终结在 NGINX 上处理 HTTPS 加解密减轻后端服务器压力。6.2 配置示例代理一个 Node.js 应用假设你的 Node.js 应用运行在本机的3000端口。# /etc/nginx/conf.d/node_app.conf server { listen 80; server_name api.yourdomain.com; location / { # 核心代理指令 proxy_pass http://localhost:3000; # 以下是一些重要的代理头设置确保后端能获取真实客户端信息 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; # 超时设置 proxy_connect_timeout 60s; proxy_send_timeout 60s; proxy_read_timeout 60s; } }测试验证确保你的 Node.js 应用正在localhost:3000运行。配置并重载 NGINX。访问http://api.yourdomain.com或服务器IP请求应该被透明地转发到3000端口的应用并返回结果。在后端应用的日志中你应该能看到来自 NGINX 服务器 IP 的请求并且通过X-Real-IP等头可以获取到原始客户端的 IP。6.3 路径路由一个入口多个服务你可以在一个server块内通过不同的location将请求路由到不同的后端服务。server { listen 80; server_name gateway.yourdomain.com; # 所有 /api/v1/ 开头的请求转发到后端 Java 服务 location /api/v1/ { proxy_pass http://backend_java:8080/; # 注意结尾的‘/’它会将 /api/v1/xxx 映射为 /xxx # ... 其他代理设置 } # 所有 /admin/ 开头的请求转发到后端 Python (Django/Flask) 服务 location /admin/ { proxy_pass http://backend_python:8000/; # ... 其他代理设置 } # 根路径和其他请求指向前端静态资源 location / { root /var/www/frontend; index index.html; try_files $uri $uri/ /index.html; # 用于支持前端路由如 Vue Router 的 history 模式 } }这个配置实现了一个简单的 API 网关模式将不同路径的请求分发到不同的微服务。7. 核心实战负载均衡配置当你的应用有多个后端实例时NGINX 可以将流量均匀地分发到这些服务器上从而实现负载均衡提高系统的吞吐量和容错能力。7.1 负载均衡策略NGINX 支持多种负载均衡算法round-robin默认策略。按顺序将请求依次分配给每个服务器。least_conn将请求发送给当前活跃连接数最少的服务器。ip_hash根据客户端 IP 地址的哈希值分配请求确保同一客户端的请求总是落到同一台服务器可用于会话保持。hash根据用户定义的键如$request_uri进行哈希分配。random随机选择一个后端服务器。7.2 配置示例对三台后端 Web 服务器进行负载均衡首先在http块内定义一个上游服务器组upstream# 在主配置文件 nginx.conf 的 http 块内或在一个单独的 conf 文件中定义 http { # ... 其他全局配置 ... # 定义一个名为 backend_servers 的上游组 upstream backend_servers { # 默认使用 round-robin server 192.168.1.101:8080 weight3; # weight 权重值越大分配请求越多 server 192.168.1.102:8080; server 192.168.1.103:8080 max_fails3 fail_timeout30s; # 健康检查参数 # 使用 least_conn 策略 # least_conn; # 使用 ip_hash 策略 (取消下面一行的注释) # ip_hash; } # ... 后续 server 配置 ... }然后在server块中将location的请求代理到这个上游组server { listen 80; server_name app.yourdomain.com; location / { proxy_pass http://backend_servers; # 注意这里指向 upstream 的名字 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; # ... 其他代理设置 } }关键参数说明weight权重默认为1。weight3意味着该服务器接收的请求量大约是权重为1的服务器的3倍。max_fails和fail_timeout定义健康检查。在fail_timeout时间内如果连续失败次数达到max_fails则该服务器会被标记为不可用在此时间段内不再接收请求。backup标记为备份服务器只有当所有非备份服务器都不可用时才会启用它。down手动标记服务器为永久不可用。7.3 效果验证与监控配置验证重载 NGINX 配置。访问测试不断刷新http://app.yourdomain.com观察请求是否被轮询分发到不同的后端服务器可以通过后端应用的日志或返回内容中包含服务器标识来验证。模拟故障关闭其中一台后端服务器如192.168.1.102继续访问。NGINX 会根据max_fails设置在几次失败后将该节点标记为下线流量将只分发给剩余的健康节点。查看状态需ngx_http_stub_status_module模块在配置中启用状态页。location /nginx_status { stub_status on; access_log off; allow 127.0.0.1; # 只允许本机访问务必限制 deny all; }访问http://yourdomain.com/nginx_status你会看到类似以下信息Active connections: 3 server accepts handled requests 10 10 20 Reading: 0 Writing: 1 Waiting: 2Active connections当前活跃连接数。accepts已接受的客户端连接总数。handled已处理的连接总数。requests客户端请求总数。Reading正在读取请求头的连接数。Writing正在向客户端写入响应的连接数。Waiting空闲客户端连接数已处理完请求等待新请求。8. 性能优化关键配置NGINX 本身性能卓越但通过调整一些参数可以更好地适配你的硬件和业务场景榨干服务器性能。8.1 工作进程与连接数优化# /etc/nginx/nginx.conf user nginx; worker_processes auto; # 自动设置为 CPU 核心数通常是最佳选择 events { # 每个工作进程允许的最大连接数包括客户端和后端连接 worker_connections 10240; # 使用高效的多路复用 I/O 模型 (Linux 2.6 推荐 epoll) use epoll; # 开启“惊群”问题优化多个 worker 进程同时接受新连接 multi_accept on; }计算理论最大并发连接数max_clients worker_processes * worker_connections。但要注意这个值也受系统级文件描述符限制ulimit -n约束。8.2 缓冲区与超时优化http { # 关闭访问日志以提升性能调试完成后在生产环境考虑 # access_log off; # 开启高效文件传输 sendfile on; tcp_nopush on; # 与 sendfile on 配合使用在数据包满时才发送提升网络效率 tcp_nodelay on; # 针对 keepalive 连接禁用 Nagle 算法降低延迟 # 客户端相关超时 client_body_timeout 12; client_header_timeout 12; keepalive_timeout 65; # 长连接超时可根据业务调整 send_timeout 10; # 代理到后端服务器的缓冲区设置 proxy_buffering on; proxy_buffer_size 4k; # 存储响应头的缓冲区大小 proxy_buffers 8 4k; # 存储响应体的缓冲区数量和大小 proxy_busy_buffers_size 8k; # 繁忙时缓冲区大小 # 开启 Gzip 压缩减少传输数据量 gzip on; gzip_vary on; gzip_min_length 1024; # 小于此值不压缩 gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xmlrss text/javascript; gzip_comp_level 6; # 压缩级别 1-9越高CPU消耗越大 }8.3 静态资源缓存优化对于图片、CSS、JS 等静态资源设置长时间的浏览器缓存可以极大提升用户体验并减少服务器负载。server { location ~* \.(jpg|jpeg|png|gif|ico|css|js|svg|woff|woff2|ttf|eot)$ { expires 1y; # 客户端缓存1年 add_header Cache-Control “public, immutable”; # immutable 告诉浏览器内容永不变无需再验证 # 可选添加 ETag 或 Last-Modified 头NGINX 默认会加 # 可选使用日志记录不记录静态资源访问减少日志量 access_log off; } }8.4 限制请求速率与连接数防止恶意刷接口或 CC 攻击。# 在 http 块中定义限制区 http { limit_req_zone $binary_remote_addr zoneapi_limit:10m rate10r/s; limit_conn_zone $binary_remote_addr zoneaddr:10m; # ... 其他配置 } server { location /api/ { # 限制每秒请求数漏桶算法 limit_req zoneapi_limit burst20 nodelay; # 限制单个IP的连接数 limit_conn addr 10; proxy_pass http://backend_api; # ... 其他代理设置 } }limit_req_zone定义了一个名为api_limit的共享内存区10MB基于客户端 IP 限制每秒 10 个请求。limit_req在location中应用该限制。burst20允许突发 20 个请求排队nodelay表示对排队中的请求立即处理不延迟。limit_conn_zone和limit_conn限制单个 IP 同时只能有 10 个连接。9. 安全加固配置要点安全无小事以下是一些基础的 NGINX 安全配置。9.1 隐藏 NGINX 版本信息在错误页面和响应头中隐藏 NGINX 版本减少信息暴露。http { server_tokens off; # 全局关闭 }9.2 禁用不必要的 HTTP 方法只允许 GET, POST, HEAD 等必要方法。server { location / { limit_except GET POST HEAD { deny all; } # ... 其他配置 } }9.3 配置 HTTPS 与 SSL 优化使用 Let‘s Encrypt现代网站必须使用 HTTPS。推荐使用 Certbot 自动获取和续签 Let’s Encrypt 免费证书。# 以 Ubuntu 为例安装 Certbot sudo apt install certbot python3-certbot-nginx -y # 获取并自动配置证书 sudo certbot --nginx -d yourdomain.com -d www.yourdomain.comCertbot 会自动修改你的 NGINX 配置。手动配置 SSL 的示例如下server { listen 443 ssl http2; # 启用 HTTP/2 server_name yourdomain.com www.yourdomain.com; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; # SSL 优化配置 ssl_protocols TLSv1.2 TLSv1.3; # 禁用老旧不安全的协议 ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512; ssl_prefer_server_ciphers off; ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; # 启用 HSTS强制浏览器使用 HTTPS谨慎使用一旦启用很难回退 # add_header Strict-Transport-Security “max-age31536000; includeSubDomains” always; location / { proxy_pass http://backend_servers; # ... 代理设置 } } # 将 HTTP 重定向到 HTTPS server { listen 80; server_name yourdomain.com www.yourdomain.com; return 301 https://$server_name$request_uri; }9.4 访问控制与目录保护# 限制特定 IP 访问管理后台 location /admin/ { allow 192.168.1.0/24; # 允许内网网段 allow 203.0.113.1; # 允许特定公网IP deny all; # 拒绝其他所有 auth_basic “Restricted Area”; auth_basic_user_file /etc/nginx/.htpasswd; # 使用 htpasswd 创建密码文件 # ... 其他配置 } # 禁止访问隐藏文件如 .git, .env location ~ /\. { deny all; access_log off; log_not_found off; }10. 常见问题与排查方法遇到问题不要慌按照以下思路排查。问题现象可能原因排查方式解决方案启动失败nginx: [emerg] bind() to 0.0.0.0:80 failed80 端口被其他进程占用。sudo netstat -tulpn | grep :80或sudo ss -tulpn | grep :80停止占用端口的服务如 Apache或修改 NGINX 配置中的listen端口。配置文件语法错误配置文件中有拼写错误、缺少分号、括号不匹配等。sudo nginx -t根据命令输出的错误行号和信息仔细检查并修正配置文件。访问网站显示 “403 Forbidden”权限问题。NGINX 进程用户通常是nginx或www-data无权访问网站根目录的文件。检查目录和文件的权限ls -la /var/www/检查 NGINX 错误日志tail -f /var/log/nginx/error.log。确保网站根目录对 NGINX 用户有读取权限sudo chmod -R 755 /var/www/my_site和sudo chown -R nginx:nginx /var/www/my_site用户组根据实际调整。访问网站显示 “502 Bad Gateway”NGINX 无法连接到后端服务器反向代理或负载均衡时。1. 检查后端服务是否运行curl http://backend_ip:port。2. 检查防火墙是否放行了后端端口。3. 查看 NGINX 错误日志。1. 启动后端服务。2. 配置防火墙规则。3. 检查proxy_pass地址是否正确。访问网站显示 “504 Gateway Time-out”NGINX 与后端服务器通信超时。检查后端服务处理是否过慢或网络是否有问题。查看 NGINX 错误日志。增加proxy_read_timeout,proxy_connect_timeout,proxy_send_timeout的值如设为300s。优化后端应用性能。静态资源CSS/JS无法加载MIME 类型错误或路径不对。浏览器开发者工具 Network 面板查看资源请求状态码和路径。检查 NGINX 配置中location块是否匹配。1. 确保include /etc/nginx/mime.types;存在。2. 检查资源文件的路径是否正确相对于root指令。3. 对于前端路由 history 模式确保有try_files $uri $uri/ /index.html;。负载均衡不生效请求总打到一台服务器可能使用了ip_hash策略或者后端服务器健康状态不一致。检查upstream配置中是否设置了ip_hash。检查后端服务器日志。1. 如需会话保持考虑使用sticky模块或应用层 session。2. 检查max_fails和fail_timeout配置确保不健康的服务器被正确剔除。日志文件过大磁盘空间不足访问量较大日志未轮转。du -sh /var/log/nginx/配置logrotate自动轮转 NGINX 日志。通常系统已安装配置文件在/etc/logrotate.d/nginx。性能瓶颈CPU 或内存占用高配置不当或受到攻击。使用top或htop查看进程。使用nginx -V查看编译的模块禁用不需要的模块重新编译。检查是否开启 Gzip。1. 优化worker_processes和worker_connections。2. 启用缓存如proxy_cache。3. 实施请求限速。4. 考虑升级硬件或横向扩展。11. 最佳实践与使用建议配置管理使用版本控制系统如 Git管理你的 NGINX 配置文件。为每个站点或服务创建独立的配置文件放在conf.d/下便于维护和隔离。每次修改配置后务必先执行nginx -t测试语法再nginx -s reload重载。目录结构规范/etc/nginx/主配置目录。/var/www/或/srv/www/网站文件根目录。/var/log/nginx/日志目录。确保日志权限正确并定期清理。/etc/nginx/snippets/可选创建可复用的配置片段如 SSL 参数、安全头然后用include指令引用。监控与告警启用stub_status模块或使用ngx_http_api_module商业版获取状态数据。将 NGINX 指标如活跃连接数、请求率、错误率接入 Prometheus Grafana 等监控系统。监控错误日志 (error.log)对频繁出现的错误设置告警。性能测试在上线前使用ab(ApacheBench)、wrk或jmeter等工具进行压力测试根据结果调整worker_connections、缓冲区大小等参数。安全第一定期更新 NGINX 到稳定版本修复安全漏洞。使用强密码和密钥定期更换 SSL 证书。限制不必要的模块编译减少攻击面。对外网暴露的管理接口如nginx_status一定要做 IP 白名单限制。备份与回滚在对生产环境进行重大配置变更前备份当前的配置文件。准备好回滚方案一旦新配置出现问题能快速切回旧版本。从零配置一个静态网站到搭建反向代理网关再到实现负载均衡集群NGINX 的配置过程清晰而直接。最值得尝试的点在于你几乎可以立即看到配置生效的结果。最先应该验证的是静态文件服务和基本的proxy_pass这是所有复杂配置的基石。最容易踩的坑是配置文件语法错误和文件权限问题务必养成用nginx -t测试的好习惯。后续你可以探索更高级的功能如基于map的变量处理、使用auth_request做子请求鉴权、利用proxy_cache做内容缓存、或者尝试 OpenResty 用 Lua 扩展 NGINX 的能力。把这份指南作为你的脚手架在实际项目中不断实践和调整很快你就能驾驭这个强大的工具。 NGINX从入门到实战：配置反向代理与负载均衡的完整指南
这次我们来看一个 NGINX 从入门到实战的完整指南。NGINX 作为一款高性能的 HTTP 和反向代理服务器几乎是现代 Web 架构的基石。无论你是想搭建个人网站还是需要为公司的微服务架构提供负载均衡和反向代理NGINX 都是绕不开的核心组件。这篇文章的重点不是空谈概念而是让你能立刻动手从零开始完成 NGINX 的安装、配置并实现负载均衡、反向代理等核心功能最后还会探讨性能优化的关键点。我们会重点关注配置文件的写法、服务启动方式、常见问题的排查以及如何通过简单的配置提升服务稳定性。如果你关心如何让 Web 服务更可靠、更高效这篇文章可以直接收藏。1. 核心能力速览在深入细节之前我们先快速了解 NGINX 的核心能力这决定了它适合解决哪些问题。能力项说明项目类型高性能 Web 服务器 / 反向代理服务器 / 负载均衡器 / 邮件代理服务器主要功能静态资源服务、反向代理、负载均衡、SSL/TLS 终止、HTTP/2 支持、访问控制、URL 重写、Gzip 压缩等推荐硬件对硬件要求极低普通云服务器或虚拟机即可运行性能瓶颈通常在于网络和磁盘 I/O。内存占用内存占用小一个工作进程通常在几 MB 到几十 MB具体取决于连接数和配置的模块。支持平台Linux (主要)、Windows、macOS、BSD 等。生产环境以 Linux 为主。启动方式通过系统服务systemd或命令行直接启动。配置文件热重载无需重启服务。是否支持 API原生 NGINX 主要通过配置文件管理。商业版 NGINX Plus 提供 REST API 和动态配置。开源版可通过nginx -s信号管理或结合第三方模块实现部分 API 功能。是否支持批量任务本身是常驻服务不直接处理“批量任务”。但其负载均衡功能可视为将请求“批量”分发到后端服务器。日志分析、证书管理等可通过脚本批量操作。适合场景个人博客/网站托管、API 网关、微服务入口、动静分离、高可用集群负载均衡、SSL 卸载、缓存加速等。2. 适用场景与使用边界NGINX 功能强大但并非万能。明确它的适用场景和边界能帮助你做出更合适的技术选型。适合谁用前端开发者需要快速部署静态网站或 SPA单页应用。后端开发者需要为 Java/Python/Go 等应用提供反向代理实现统一的入口和负载均衡。运维工程师构建高可用、可扩展的 Web 服务架构进行流量管理和安全加固。架构师设计微服务网关、API 聚合层或全局流量调度方案。能解决什么问题高并发连接处理采用事件驱动、异步非阻塞架构能轻松应对数万甚至数十万的并发连接远超传统的 Apache 服务器基于进程/线程模型。资源高效利用极低的内存消耗和 CPU 占用让单台服务器能承载更多服务。业务解耦与安全通过反向代理隐藏后端服务器的真实 IP 和端口提升安全性。同时前端NGINX和后端应用服务器可以独立部署、升级。提升可用性与扩展性通过负载均衡将流量分发到多个后端实例避免单点故障并能水平扩展应用处理能力。优化用户体验通过 Gzip 压缩、静态文件缓存、SSL 加速等功能显著降低页面加载时间。不适合什么场景高度动态、会话复杂的应用直接处理NGINX 本身不擅长执行像 PHP、JSP 这样的服务器端脚本。它通常作为反向代理将动态请求转发给后端的 Apache、Tomcat、uWSGI、Gunicorn 等应用服务器。需要复杂业务逻辑的 API 网关虽然 NGINX 可以通过location和rewrite做简单的路由但对于复杂的鉴权、限流、熔断、API 聚合等需求可能需要结合 Lua 脚本OpenResty或使用更专业的 API 网关如 Kong, APISIX它们基于 NGINX/OpenResty。替代数据库或消息队列NGINX 是 Web 服务器/代理不是数据持久化或异步通信工具。安全与合规边界配置安全错误的配置可能导致目录遍历、信息泄露等安全风险。必须遵循最小权限原则定期审计配置文件。访问控制务必配置好allow/deny规则、防火墙防止未授权访问。SSL/TLS 安全使用强加密套件及时更新 SSL 证书禁用不安全的协议如 SSLv2, SSLv3和加密算法。日志与监控开启访问日志和错误日志用于安全审计和故障排查。注意日志中可能包含敏感信息如 URL 参数需按合规要求处理。3. 环境准备与前置条件在开始安装 NGINX 之前请确保你的环境满足以下基本要求。本文将以最常用的Linux 系统Ubuntu/CentOS为例进行说明。操作系统推荐Ubuntu 20.04/22.04 LTS, CentOS 7/8, Rocky Linux 8/9 等主流 Linux 发行版。也可用Windows用于开发测试生产环境不推荐 macOS。权限要求你需要拥有系统的root 权限或sudo 权限以便安装软件包和操作服务。网络连通性确保服务器可以访问互联网以下载安装包或者你已经准备好了本地软件源。端口占用检查NGINX 默认监听 80HTTP和 443HTTPS端口。在安装前检查这些端口是否被其他程序如 Apache, Tomcat占用。# 检查80和443端口占用情况 sudo netstat -tulpn | grep -E ‘:(80|443)\s’ # 或使用 ss 命令 sudo ss -tulpn | grep -E ‘:(80|443)’如果端口被占用你需要停止相关服务或为 NGINX 配置其他监听端口。防火墙配置如果系统防火墙如firewalld或ufw已开启需要放行 HTTP(80) 和 HTTPS(443) 端口。# 对于 firewalld (CentOS/RHEL) sudo firewall-cmd --permanent --add-servicehttp sudo firewall-cmd --permanent --add-servicehttps sudo firewall-cmd --reload # 对于 ufw (Ubuntu) sudo ufw allow ‘Nginx Full’ # 通常预定义了此规则包含80和443 # 或手动添加 sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw reload4. 安装部署与启动方式NGINX 的安装非常简便主流 Linux 发行版都提供了预编译的软件包。我们推荐使用官方源或发行版仓库安装以获得稳定的版本和自动更新。4.1 在 Ubuntu/Debian 上安装# 1. 更新软件包列表 sudo apt update # 2. 安装 NGINX sudo apt install nginx -y # 3. 安装完成后NGINX 会自动启动。验证服务状态 sudo systemctl status nginx如果状态显示active (running)并且通过curl -I http://localhost能返回200 OK说明安装成功。4.2 在 CentOS/RHEL/Rocky Linux 上安装对于 CentOS 8 及更高版本包括 Rocky Linux默认仓库可能不包含 NGINX需要先添加 EPEL 仓库或 NGINX 官方仓库。# 方法一使用 EPEL 仓库 (版本可能较旧但稳定) sudo yum install epel-release -y sudo yum install nginx -y # 方法二使用 NGINX 官方仓库 (获取最新稳定版) # 创建仓库文件 sudo vi /etc/yum.repos.d/nginx.repo将以下内容粘贴到nginx.repo文件中以 CentOS 为例[nginx-stable] namenginx stable repo baseurlhttp://nginx.org/packages/centos/$releasever/$basearch/ gpgcheck1 enabled1 gpgkeyhttps://nginx.org/keys/nginx_signing.key module_hotfixestrue保存退出后执行安装sudo yum install nginx -y sudo systemctl start nginx sudo systemctl enable nginx # 设置开机自启 sudo systemctl status nginx4.3 通过源码编译安装高级如果你需要特定的第三方模块或自定义功能可以选择源码编译。步骤相对复杂# 1. 安装编译依赖 sudo apt install build-essential libpcre3 libpcre3-dev zlib1g zlib1g-dev libssl-dev -y # Ubuntu # sudo yum install gcc pcre pcre-devel zlib zlib-devel openssl openssl-devel -y # CentOS # 2. 下载源码包 (以稳定版 1.24.0 为例) wget https://nginx.org/download/nginx-1.24.0.tar.gz tar -zxvf nginx-1.24.0.tar.gz cd nginx-1.24.0 # 3. 配置编译选项 (示例添加 http_sub_module) ./configure --prefix/usr/local/nginx \ --with-http_ssl_module \ --with-http_sub_module \ --with-http_stub_status_module # 4. 编译并安装 make sudo make install # 5. 启动 (源码安装的 NGINX 默认没有 systemd 服务文件需要手动启动) sudo /usr/local/nginx/sbin/nginx4.4 关键目录与文件说明安装完成后了解以下关键路径主配置文件/etc/nginx/nginx.conf(包管理安装) 或/usr/local/nginx/conf/nginx.conf(源码安装)。站点配置目录/etc/nginx/conf.d/或/etc/nginx/sites-available//etc/nginx/sites-enabled/(Ubuntu)。默认网站根目录/usr/share/nginx/html或/var/www/html。日志文件访问日志/var/log/nginx/access.log错误日志/var/log/nginx/error.log。可执行文件/usr/sbin/nginx(包管理安装) 或/usr/local/nginx/sbin/nginx(源码安装)。5. 基础配置与静态网站服务安装成功后我们先从最简单的静态网站服务开始理解 NGINX 配置的基本结构。5.1 配置文件结构解析打开主配置文件/etc/nginx/nginx.conf你会看到类似下面的结构# 全局块设置影响nginx整体运行的指令 user nginx; worker_processes auto; # 工作进程数通常设为CPU核心数 error_log /var/log/nginx/error.log warn; pid /var/run/nginx.pid; # Events块设置网络连接相关参数 events { worker_connections 1024; # 每个工作进程的最大连接数 # use epoll; # Linux高效网络模型 } # Http块最重要的配置部分可以嵌套多个Server块 http { include /etc/nginx/mime.types; # 包含MIME类型定义文件 default_type application/octet-stream; # 日志格式定义 log_format main ‘$remote_addr - $remote_user [$time_local] “$request” ‘ ‘$status $body_bytes_sent “$http_referer” ‘ ‘“$http_user_agent” “$http_x_forwarded_for”’; access_log /var/log/nginx/access.log main; sendfile on; # 开启高效文件传输模式 tcp_nopush on; # 防止网络阻塞 keepalive_timeout 65; # 长连接超时时间 # 包含其他配置文件 include /etc/nginx/conf.d/*.conf; # include /etc/nginx/sites-enabled/*; # Ubuntu风格 }5.2 配置一个简单的静态站点我们通常在/etc/nginx/conf.d/目录下为每个站点创建一个独立的.conf文件例如my_site.conf。sudo vi /etc/nginx/conf.d/my_site.conf写入以下内容server { listen 80; # 监听80端口 server_name mydomain.com www.mydomain.com; # 你的域名本地测试可用 localhost # 网站根目录 root /var/www/my_site; index index.html index.htm; location / { try_files $uri $uri/ 404; # 尝试按顺序寻找文件都找不到则返回404 } # 可选的静态资源缓存设置 location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ { expires 30d; # 客户端缓存30天 add_header Cache-Control “public, immutable”; } # 错误页面定制 error_page 404 /404.html; location /404.html { internal; } }操作步骤创建网站根目录并放入一个index.html文件。sudo mkdir -p /var/www/my_site echo “h1Hello, NGINX!/h1” | sudo tee /var/www/my_site/index.html检查配置文件语法是否正确。sudo nginx -t如果输出syntax is ok和test is successful说明配置无误。重新加载 NGINX 配置使新站点生效。sudo nginx -s reload # 或使用 systemctl sudo systemctl reload nginx效果验证在浏览器访问http://你的服务器IP或配置的域名应该能看到 “Hello, NGINX!” 的页面。同时检查日志文件tail -f /var/log/nginx/access.log可以看到访问记录。6. 核心实战反向代理配置反向代理是 NGINX 最常用的功能之一。它接收客户端的请求然后将请求转发给内部网络上的后端服务器并将得到的结果返回给客户端。对外而言客户端感知不到后端服务器的存在。6.1 为什么需要反向代理隐藏后端服务保护应用服务器的安全。负载均衡将请求分发到多个后端服务器。统一入口多个服务可以通过不同路径/api/,/app/统一由 NGINX 代理。SSL 终结在 NGINX 上处理 HTTPS 加解密减轻后端服务器压力。6.2 配置示例代理一个 Node.js 应用假设你的 Node.js 应用运行在本机的3000端口。# /etc/nginx/conf.d/node_app.conf server { listen 80; server_name api.yourdomain.com; location / { # 核心代理指令 proxy_pass http://localhost:3000; # 以下是一些重要的代理头设置确保后端能获取真实客户端信息 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; # 超时设置 proxy_connect_timeout 60s; proxy_send_timeout 60s; proxy_read_timeout 60s; } }测试验证确保你的 Node.js 应用正在localhost:3000运行。配置并重载 NGINX。访问http://api.yourdomain.com或服务器IP请求应该被透明地转发到3000端口的应用并返回结果。在后端应用的日志中你应该能看到来自 NGINX 服务器 IP 的请求并且通过X-Real-IP等头可以获取到原始客户端的 IP。6.3 路径路由一个入口多个服务你可以在一个server块内通过不同的location将请求路由到不同的后端服务。server { listen 80; server_name gateway.yourdomain.com; # 所有 /api/v1/ 开头的请求转发到后端 Java 服务 location /api/v1/ { proxy_pass http://backend_java:8080/; # 注意结尾的‘/’它会将 /api/v1/xxx 映射为 /xxx # ... 其他代理设置 } # 所有 /admin/ 开头的请求转发到后端 Python (Django/Flask) 服务 location /admin/ { proxy_pass http://backend_python:8000/; # ... 其他代理设置 } # 根路径和其他请求指向前端静态资源 location / { root /var/www/frontend; index index.html; try_files $uri $uri/ /index.html; # 用于支持前端路由如 Vue Router 的 history 模式 } }这个配置实现了一个简单的 API 网关模式将不同路径的请求分发到不同的微服务。7. 核心实战负载均衡配置当你的应用有多个后端实例时NGINX 可以将流量均匀地分发到这些服务器上从而实现负载均衡提高系统的吞吐量和容错能力。7.1 负载均衡策略NGINX 支持多种负载均衡算法round-robin默认策略。按顺序将请求依次分配给每个服务器。least_conn将请求发送给当前活跃连接数最少的服务器。ip_hash根据客户端 IP 地址的哈希值分配请求确保同一客户端的请求总是落到同一台服务器可用于会话保持。hash根据用户定义的键如$request_uri进行哈希分配。random随机选择一个后端服务器。7.2 配置示例对三台后端 Web 服务器进行负载均衡首先在http块内定义一个上游服务器组upstream# 在主配置文件 nginx.conf 的 http 块内或在一个单独的 conf 文件中定义 http { # ... 其他全局配置 ... # 定义一个名为 backend_servers 的上游组 upstream backend_servers { # 默认使用 round-robin server 192.168.1.101:8080 weight3; # weight 权重值越大分配请求越多 server 192.168.1.102:8080; server 192.168.1.103:8080 max_fails3 fail_timeout30s; # 健康检查参数 # 使用 least_conn 策略 # least_conn; # 使用 ip_hash 策略 (取消下面一行的注释) # ip_hash; } # ... 后续 server 配置 ... }然后在server块中将location的请求代理到这个上游组server { listen 80; server_name app.yourdomain.com; location / { proxy_pass http://backend_servers; # 注意这里指向 upstream 的名字 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; # ... 其他代理设置 } }关键参数说明weight权重默认为1。weight3意味着该服务器接收的请求量大约是权重为1的服务器的3倍。max_fails和fail_timeout定义健康检查。在fail_timeout时间内如果连续失败次数达到max_fails则该服务器会被标记为不可用在此时间段内不再接收请求。backup标记为备份服务器只有当所有非备份服务器都不可用时才会启用它。down手动标记服务器为永久不可用。7.3 效果验证与监控配置验证重载 NGINX 配置。访问测试不断刷新http://app.yourdomain.com观察请求是否被轮询分发到不同的后端服务器可以通过后端应用的日志或返回内容中包含服务器标识来验证。模拟故障关闭其中一台后端服务器如192.168.1.102继续访问。NGINX 会根据max_fails设置在几次失败后将该节点标记为下线流量将只分发给剩余的健康节点。查看状态需ngx_http_stub_status_module模块在配置中启用状态页。location /nginx_status { stub_status on; access_log off; allow 127.0.0.1; # 只允许本机访问务必限制 deny all; }访问http://yourdomain.com/nginx_status你会看到类似以下信息Active connections: 3 server accepts handled requests 10 10 20 Reading: 0 Writing: 1 Waiting: 2Active connections当前活跃连接数。accepts已接受的客户端连接总数。handled已处理的连接总数。requests客户端请求总数。Reading正在读取请求头的连接数。Writing正在向客户端写入响应的连接数。Waiting空闲客户端连接数已处理完请求等待新请求。8. 性能优化关键配置NGINX 本身性能卓越但通过调整一些参数可以更好地适配你的硬件和业务场景榨干服务器性能。8.1 工作进程与连接数优化# /etc/nginx/nginx.conf user nginx; worker_processes auto; # 自动设置为 CPU 核心数通常是最佳选择 events { # 每个工作进程允许的最大连接数包括客户端和后端连接 worker_connections 10240; # 使用高效的多路复用 I/O 模型 (Linux 2.6 推荐 epoll) use epoll; # 开启“惊群”问题优化多个 worker 进程同时接受新连接 multi_accept on; }计算理论最大并发连接数max_clients worker_processes * worker_connections。但要注意这个值也受系统级文件描述符限制ulimit -n约束。8.2 缓冲区与超时优化http { # 关闭访问日志以提升性能调试完成后在生产环境考虑 # access_log off; # 开启高效文件传输 sendfile on; tcp_nopush on; # 与 sendfile on 配合使用在数据包满时才发送提升网络效率 tcp_nodelay on; # 针对 keepalive 连接禁用 Nagle 算法降低延迟 # 客户端相关超时 client_body_timeout 12; client_header_timeout 12; keepalive_timeout 65; # 长连接超时可根据业务调整 send_timeout 10; # 代理到后端服务器的缓冲区设置 proxy_buffering on; proxy_buffer_size 4k; # 存储响应头的缓冲区大小 proxy_buffers 8 4k; # 存储响应体的缓冲区数量和大小 proxy_busy_buffers_size 8k; # 繁忙时缓冲区大小 # 开启 Gzip 压缩减少传输数据量 gzip on; gzip_vary on; gzip_min_length 1024; # 小于此值不压缩 gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xmlrss text/javascript; gzip_comp_level 6; # 压缩级别 1-9越高CPU消耗越大 }8.3 静态资源缓存优化对于图片、CSS、JS 等静态资源设置长时间的浏览器缓存可以极大提升用户体验并减少服务器负载。server { location ~* \.(jpg|jpeg|png|gif|ico|css|js|svg|woff|woff2|ttf|eot)$ { expires 1y; # 客户端缓存1年 add_header Cache-Control “public, immutable”; # immutable 告诉浏览器内容永不变无需再验证 # 可选添加 ETag 或 Last-Modified 头NGINX 默认会加 # 可选使用日志记录不记录静态资源访问减少日志量 access_log off; } }8.4 限制请求速率与连接数防止恶意刷接口或 CC 攻击。# 在 http 块中定义限制区 http { limit_req_zone $binary_remote_addr zoneapi_limit:10m rate10r/s; limit_conn_zone $binary_remote_addr zoneaddr:10m; # ... 其他配置 } server { location /api/ { # 限制每秒请求数漏桶算法 limit_req zoneapi_limit burst20 nodelay; # 限制单个IP的连接数 limit_conn addr 10; proxy_pass http://backend_api; # ... 其他代理设置 } }limit_req_zone定义了一个名为api_limit的共享内存区10MB基于客户端 IP 限制每秒 10 个请求。limit_req在location中应用该限制。burst20允许突发 20 个请求排队nodelay表示对排队中的请求立即处理不延迟。limit_conn_zone和limit_conn限制单个 IP 同时只能有 10 个连接。9. 安全加固配置要点安全无小事以下是一些基础的 NGINX 安全配置。9.1 隐藏 NGINX 版本信息在错误页面和响应头中隐藏 NGINX 版本减少信息暴露。http { server_tokens off; # 全局关闭 }9.2 禁用不必要的 HTTP 方法只允许 GET, POST, HEAD 等必要方法。server { location / { limit_except GET POST HEAD { deny all; } # ... 其他配置 } }9.3 配置 HTTPS 与 SSL 优化使用 Let‘s Encrypt现代网站必须使用 HTTPS。推荐使用 Certbot 自动获取和续签 Let’s Encrypt 免费证书。# 以 Ubuntu 为例安装 Certbot sudo apt install certbot python3-certbot-nginx -y # 获取并自动配置证书 sudo certbot --nginx -d yourdomain.com -d www.yourdomain.comCertbot 会自动修改你的 NGINX 配置。手动配置 SSL 的示例如下server { listen 443 ssl http2; # 启用 HTTP/2 server_name yourdomain.com www.yourdomain.com; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; # SSL 优化配置 ssl_protocols TLSv1.2 TLSv1.3; # 禁用老旧不安全的协议 ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512; ssl_prefer_server_ciphers off; ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; # 启用 HSTS强制浏览器使用 HTTPS谨慎使用一旦启用很难回退 # add_header Strict-Transport-Security “max-age31536000; includeSubDomains” always; location / { proxy_pass http://backend_servers; # ... 代理设置 } } # 将 HTTP 重定向到 HTTPS server { listen 80; server_name yourdomain.com www.yourdomain.com; return 301 https://$server_name$request_uri; }9.4 访问控制与目录保护# 限制特定 IP 访问管理后台 location /admin/ { allow 192.168.1.0/24; # 允许内网网段 allow 203.0.113.1; # 允许特定公网IP deny all; # 拒绝其他所有 auth_basic “Restricted Area”; auth_basic_user_file /etc/nginx/.htpasswd; # 使用 htpasswd 创建密码文件 # ... 其他配置 } # 禁止访问隐藏文件如 .git, .env location ~ /\. { deny all; access_log off; log_not_found off; }10. 常见问题与排查方法遇到问题不要慌按照以下思路排查。问题现象可能原因排查方式解决方案启动失败nginx: [emerg] bind() to 0.0.0.0:80 failed80 端口被其他进程占用。sudo netstat -tulpn | grep :80或sudo ss -tulpn | grep :80停止占用端口的服务如 Apache或修改 NGINX 配置中的listen端口。配置文件语法错误配置文件中有拼写错误、缺少分号、括号不匹配等。sudo nginx -t根据命令输出的错误行号和信息仔细检查并修正配置文件。访问网站显示 “403 Forbidden”权限问题。NGINX 进程用户通常是nginx或www-data无权访问网站根目录的文件。检查目录和文件的权限ls -la /var/www/检查 NGINX 错误日志tail -f /var/log/nginx/error.log。确保网站根目录对 NGINX 用户有读取权限sudo chmod -R 755 /var/www/my_site和sudo chown -R nginx:nginx /var/www/my_site用户组根据实际调整。访问网站显示 “502 Bad Gateway”NGINX 无法连接到后端服务器反向代理或负载均衡时。1. 检查后端服务是否运行curl http://backend_ip:port。2. 检查防火墙是否放行了后端端口。3. 查看 NGINX 错误日志。1. 启动后端服务。2. 配置防火墙规则。3. 检查proxy_pass地址是否正确。访问网站显示 “504 Gateway Time-out”NGINX 与后端服务器通信超时。检查后端服务处理是否过慢或网络是否有问题。查看 NGINX 错误日志。增加proxy_read_timeout,proxy_connect_timeout,proxy_send_timeout的值如设为300s。优化后端应用性能。静态资源CSS/JS无法加载MIME 类型错误或路径不对。浏览器开发者工具 Network 面板查看资源请求状态码和路径。检查 NGINX 配置中location块是否匹配。1. 确保include /etc/nginx/mime.types;存在。2. 检查资源文件的路径是否正确相对于root指令。3. 对于前端路由 history 模式确保有try_files $uri $uri/ /index.html;。负载均衡不生效请求总打到一台服务器可能使用了ip_hash策略或者后端服务器健康状态不一致。检查upstream配置中是否设置了ip_hash。检查后端服务器日志。1. 如需会话保持考虑使用sticky模块或应用层 session。2. 检查max_fails和fail_timeout配置确保不健康的服务器被正确剔除。日志文件过大磁盘空间不足访问量较大日志未轮转。du -sh /var/log/nginx/配置logrotate自动轮转 NGINX 日志。通常系统已安装配置文件在/etc/logrotate.d/nginx。性能瓶颈CPU 或内存占用高配置不当或受到攻击。使用top或htop查看进程。使用nginx -V查看编译的模块禁用不需要的模块重新编译。检查是否开启 Gzip。1. 优化worker_processes和worker_connections。2. 启用缓存如proxy_cache。3. 实施请求限速。4. 考虑升级硬件或横向扩展。11. 最佳实践与使用建议配置管理使用版本控制系统如 Git管理你的 NGINX 配置文件。为每个站点或服务创建独立的配置文件放在conf.d/下便于维护和隔离。每次修改配置后务必先执行nginx -t测试语法再nginx -s reload重载。目录结构规范/etc/nginx/主配置目录。/var/www/或/srv/www/网站文件根目录。/var/log/nginx/日志目录。确保日志权限正确并定期清理。/etc/nginx/snippets/可选创建可复用的配置片段如 SSL 参数、安全头然后用include指令引用。监控与告警启用stub_status模块或使用ngx_http_api_module商业版获取状态数据。将 NGINX 指标如活跃连接数、请求率、错误率接入 Prometheus Grafana 等监控系统。监控错误日志 (error.log)对频繁出现的错误设置告警。性能测试在上线前使用ab(ApacheBench)、wrk或jmeter等工具进行压力测试根据结果调整worker_connections、缓冲区大小等参数。安全第一定期更新 NGINX 到稳定版本修复安全漏洞。使用强密码和密钥定期更换 SSL 证书。限制不必要的模块编译减少攻击面。对外网暴露的管理接口如nginx_status一定要做 IP 白名单限制。备份与回滚在对生产环境进行重大配置变更前备份当前的配置文件。准备好回滚方案一旦新配置出现问题能快速切回旧版本。从零配置一个静态网站到搭建反向代理网关再到实现负载均衡集群NGINX 的配置过程清晰而直接。最值得尝试的点在于你几乎可以立即看到配置生效的结果。最先应该验证的是静态文件服务和基本的proxy_pass这是所有复杂配置的基石。最容易踩的坑是配置文件语法错误和文件权限问题务必养成用nginx -t测试的好习惯。后续你可以探索更高级的功能如基于map的变量处理、使用auth_request做子请求鉴权、利用proxy_cache做内容缓存、或者尝试 OpenResty 用 Lua 扩展 NGINX 的能力。把这份指南作为你的脚手架在实际项目中不断实践和调整很快你就能驾驭这个强大的工具。