安装与配置结构#

使用发行版认可的软件源安装 Nginx，Debian/Ubuntu 通常使用 apt install nginx，RHEL 系列通常使用 dnf install nginx。安装和服务管理需要管理员权限，包安装后是否自动启动取决于发行版。

1
nginx -v
2
nginx -V
3
sudo nginx -T

-V 显示编译选项和模块，-T 检查并输出加载的配置。输出可能包含内部地址或凭据，分享前应审阅。不要假设所有安装都有 sites-enabled，先检查主配置的 include。

进程通常由 master 管理配置和 worker，worker 处理连接。应用配置一般放入已有 http 上下文加载的文件，不能重复嵌套 http。

静态文件与请求匹配#

以下独立示例要求 /srv/www/demo/index.html 已存在，worker 用户可读取文件并穿过父目录，TCP 80 可用：

1
server {
2
    listen 80;
3
    server_name demo.example.com;
4
    root /srv/www/demo;
5
    index index.html;
6

7
    location / {
8
        try_files $uri $uri/ =404;
9
    }
10
}

请求 /images/logo.png 对应 /srv/www/demo/images/logo.png。root 在目录后拼接 URI；alias 替换匹配的 location 路径部分，不能直接互换。

Nginx 先按监听地址与域名选择 server，再按 URI 选择 location。精确匹配 =、前缀匹配、正则匹配有不同优先规则；复杂规则应针对真实 URI 测试，不能只按配置书写顺序理解。

1
sudo nginx -t
2
sudo systemctl reload nginx
3
curl --resolve demo.example.com:80:127.0.0.1 http://demo.example.com/

只有检查成功才执行 reload。核对返回内容和 access/error 日志，再从外部客户端验证。语法正确不保证路径、权限或后端可用。

反向代理与负载均衡#

下面是独立的代理站点示例，两个后端应已运行于本机 8081、8082，并能处理 /api/ 路径：

1
upstream demo_backend {
2
    server 127.0.0.1:8081;
3
    server 127.0.0.1:8082;
4
    keepalive 16;
5
}
6

7
server {
8
    listen 80;
9
    server_name api.example.com;
10

11
    location /api/ {
12
        proxy_pass http://demo_backend;
13
        proxy_http_version 1.1;
14
        proxy_set_header Connection "";
15
        proxy_set_header Host $host;
16
        proxy_set_header X-Forwarded-Proto $scheme;
17
        proxy_set_header X-Forwarded-For $remote_addr;
18
    }
19
}

本例将 Nginx 作为直接接收客户端的可信入口，覆盖客户端提交的 X-Forwarded-For。若前面还有负载均衡器，应限定可信代理地址并配置真实 IP 处理，后端也只能信任约定代理。直接相信客户端自带的转发头会导致来源伪造。

HTTPS#

证书需覆盖实际域名，包含所需中间证书链，并与私钥匹配。私钥只授予必要账户读取权限。下面的 server 是独立 HTTPS 示例，使用前替换证书路径并确认文件存在：

1
server {
2
    listen 443 ssl;
3
    server_name demo.example.com;
4
    ssl_certificate /etc/nginx/certs/demo-fullchain.pem;
5
    ssl_certificate_key /etc/nginx/certs/demo-key.pem;
6
    ssl_protocols TLSv1.2 TLSv1.3;
7

8
    root /srv/www/demo;
9
    location / {
10
        try_files $uri $uri/ =404;
11
    }
12
}

按相同的检查、重载流程应用，再使用 curl --resolve demo.example.com:443:127.0.0.1 https://demo.example.com/ 验证。不要通过 -k 跳过证书问题。证书续期流程还要包含配置检查、重载和到期监控。

TLS 在入口终止不意味着入口到后端也已加密；跨不可信网络的上游连接需要单独配置 TLS 和证书验证。

缓存与流量控制#

日志与性能排查#

可在 http 上下文定义以下日志格式，再在目标 server 中启用：

1
log_format timing '$remote_addr "$request" $status '
2
                  'rt=$request_time upstream=$upstream_addr '
3
                  'uct=$upstream_connect_time urt=$upstream_response_time';

1
access_log /var/log/nginx/demo-access.log timing;

总请求时间还包含客户端传输等过程，不等于后端计算耗时。重试多个上游时，相关变量可能包含多个值；应保留请求关联信息分析。

worker_connections 是每个 worker 的连接限制之一，并非 RPS。代理还需要上游连接，不能直接将 worker 数乘连接数当成可服务用户数。调整 keepalive、压缩、缓存和缓冲时，一次改变一个有依据的因素，再比较延迟、吞吐量与错误率。

参考资料#

• Nginx 入门与管理
• 请求处理与匹配
• HTTP 代理模块
• HTTPS 配置
• HTTP 负载均衡