首先，我们需要明确什么是“反向代理”。与正向代理（如浏览器通过代理访问外部网站）不同，反向代理位于服务器端，客户端并不知道真实后端服务器的存在。当用户请求到达Nginx时，Nginx会根据配置将请求转发给内部的一台或多台应用服务器（如Node.js、Tomcat、Django等），并将响应结果返回给用户。这种架构不仅提升了安全性（隐藏后端IP），还能实现负载均衡、缓存加速、SSL卸载等高级功能。
要开始配置Nginx反向代理，首先确保你的服务器已安装Nginx。在Ubuntu/Debian系统中，可通过`sudo apt install nginx`安装；在CentOS/RHEL中，则使用`sudo yum install nginx`或`dnf install nginx`。安装完成后，启动并设置开机自启：`sudo systemctl start nginx && sudo systemctl enable nginx`。默认情况下，Nginx的主配置文件位于`/etc/nginx/nginx.conf`，而站点配置通常放在`/etc/nginx/sites-available/`目录下，并通过软链接启用至`sites-enabled/`。
接下来，我们来看一个最基础的反向代理配置示例。假设你有一个运行在本地8080端口的Node.js应用，希望用户通过域名`example.com`访问它。首先，在`sites-available`目录下创建新配置文件，例如`example.com`：server {
listen 80;
server_name example.com www.example.com;
location / {
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
这段配置中，`listen 80`表示监听HTTP 80端口；`server_name`指定该虚拟主机响应的域名；`location /`匹配所有根路径请求；`proxy_pass`是核心指令，将请求转发至后端服务。而几个`proxy_set_header`则用于传递原始请求信息，确保后端应用能正确识别客户端IP、协议等元数据。
值得注意的是，`proxy_set_header Host $host;`这一行至关重要。若省略，后端应用可能因Host头缺失而无法正确路由请求（尤其在多租户或虚拟主机场景下）。此外，`X-Real-IP`和`X-Forwarded-For`用于传递真实用户IP，避免日志中全部显示为127.0.0.1。在实际部署中，建议将这些通用头部设置封装为一个`include`文件，便于复用。例如创建`/etc/nginx/proxy_params`，内容如下：proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Host $server_name;
然后在各`location`块中直接引用：`include proxy_params;`，既简洁又统一。
除了基本转发，Nginx还支持更复杂的反向代理策略。例如，你可以为不同路径匹配不同后端服务。假设你的前端静态资源由Nginx直接提供，而API接口由后端服务处理，可这样配置：server {
listen 80;
server_name api.example.com;
location /static/ {
alias /var/www/static/;
expires 30d;
}
location /api/ {
proxy_pass http://backend-api:3000/;
include proxy_params;
}
location / {
proxy_pass http://frontend-app:5000/;
include proxy_params;
}
}
这里，`/static/`路径由Nginx直接返回文件，提升性能；`/api/`转发至API服务；其余请求则交给前端应用。注意`proxy_pass`末尾的斜杠：若写成`http://backend:3000/`，则`/api/user`会被转发为`/user`；若不带斜杠（`http://backend:3000`），则完整路径保留。这点在路径重写时尤为关键。
在生产环境中，单一后端实例往往无法满足高可用需求。此时，Nginx的`upstream`模块就派上用场了。通过定义上游服务器组，可实现负载均衡。例如：upstream backend_servers {
server 192.168.1.10:8080;
server 192.168.1.11:8080;
server 192.168.1.12:8080;
}
server {
listen 80;
server_name app.example.com;
location / {
proxy_pass http://backend_servers;
include proxy_params;
}
}
默认采用轮询（round-robin）策略分发请求。你还可以指定权重（`weight=3`）、启用健康检查（`max_fails=3 fail_timeout=30s`），甚至使用IP哈希（`ip_hash;`）保证同一用户始终访问同一后端（适用于会话保持场景）。
安全是反向代理配置中不可忽视的一环。首先，应限制Nginx暴露的敏感信息。在`nginx.conf`的`http`块中添加：server_tokens off;
这会隐藏Nginx版本号，减少攻击面。其次，建议对后端服务启用超时控制，避免因后端卡死导致Nginx连接堆积：proxy_connect_timeout 5s;
proxy_send_timeout 10s;
proxy_read_timeout 10s;
此外，若后端服务仅限内网访问，可在防火墙层面限制其只接受来自Nginx服务器的连接，进一步提升安全性。
HTTPS已成为现代Web的标准。通过Nginx反向代理，我们可以轻松实现SSL/TLS卸载——即由Nginx处理加密解密，后端服务只需处理HTTP明文流量。这不仅减轻了应用服务器的CPU负担，也简化了证书管理。以Let's Encrypt免费证书为例，使用Certbot工具可自动完成申请与配置：sudo certbot --nginx -d example.com
完成后，Nginx会自动生成443端口的server块，并包含SSL证书路径。你也可以手动配置：server {
listen 443 ssl http2;
server_name example.com;
ssl_certificate /path/to/fullchain.pem;
ssl_certificate_key /path/to/privkey.pem;
location / {
proxy_pass http://backend;
include proxy_params;
}
# 强制HTTP跳转HTTPS
if ($scheme != "https") {
return 301 https://$host$request_uri;
}
}
注意：`http2`协议可显著提升页面加载速度，建议启用。
在微服务架构中，Nginx常被用作API网关。你可以基于请求头、参数或路径进行精细化路由。例如，根据`X-API-Version`头将请求分发至不同版本的服务：location /api/ {
if ($http_x_api_version = "v2") {
proxy_pass http://api-v2:8000;
}
proxy_pass http://api-v1:8000;
}
虽然Nginx官方不推荐在`location`中使用`if`（因其作用域复杂），但在简单场景下仍可接受。更稳健的做法是使用`map`指令预定义变量：map $http_x_api_version $backend {
default api-v1:8000;
"v2" api-v2:8000;
}
server {
location /api/ {
proxy_pass http://$backend;
include proxy_params;
}
}
这种方式逻辑清晰，性能更优。
最后，别忘了测试与监控。每次修改配置后，务必执行`sudo nginx -t`验证语法是否正确，再通过`sudo systemctl reload nginx`平滑重载配置（不停机）。可结合Prometheus + Grafana监控Nginx的请求率、错误率、连接数等指标；也可启用`ngx_http_stub_status_module`模块，通过`/nginx_status`端点获取实时状态。
总结一下，Nginx反向代理不仅是提升网站性能与安全性的利器，更是构建现代化Web架构的基石。从简单的单服务转发，到复杂的多后端负载均衡、HTTPS卸载、API路由，Nginx都能游刃有余。掌握其核心配置逻辑，将为你在DevOps、云原生、微服务等领域的实践打下坚实基础。建议读者在本地环境动手实验，逐步尝试文中提到的各项功能，真正将知识转化为能力。未来，随着Service Mesh等新技术的兴起，Nginx的角色或许会演进，但其在边缘代理层的价值仍将长期存在。