讲清 upstream 的几种策略、代理头设置与健康检查，避免代理后拿不到真实 IP。下面按“先判断、再动手、最后验证”的顺序展开，每一步都给出可核对的检查点。
涉及 nginx反向代理、负载均衡、upstream 的关键动作都写成了具体命令或配置项，可以照着走，也可以当检查表用。
默认轮询，weight 调权重，ip_hash 做会话保持；商业版才有主动健康检查，开源版靠 max_fails。
proxy_set_header Host 与 X-Real-IP、X-Forwarded-For 必须传，否则后端日志全是代理 IP。
proxy_connect_timeout 短、proxy_read_timeout 按业务定，别一律 60s。
大文件上传要关 proxy_request_buffering 或调大 client_max_body_size。
应用侧要信任代理传来的头，同时限制只有代理 IP 能直接访问后端。
| 环节 | 关键动作 |
|---|---|
| upstream 配置 | 默认轮询，weight 调权重，ip_hash 做会话保持；商业版才有主动健康检查，开源版靠 max_fails |
| 代理头 | proxy_set_header Host 与 X-Real-IP、X-Forwarded-For 必须传，否则后端日志全是代理 IP |
| 超时设置 | proxy_connect_timeout 短、proxy_read_timeout 按业务定，别一律 60s |
| 缓冲与上传 | 大文件上传要关 proxy_request_buffering 或调大 client_max_body_size |
Q：按文中写法改完，怎么确认真的生效？
不要只看配置文件，用对应的验证命令或从外部视角复测一次；改完先小流量观察一段，再全量推进，出问题能马上回退。
Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。
Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。
回到这篇的 5 个环节：upstream 配置、代理头、超时设置、缓冲与上传、后端真实 IP。把这几个动作写进检查表，下次遇到同类问题按顺序过一遍，比凭经验跳步骤稳。
相关阅读：SSH密钥与跳板机配置、软件包管理：yum/apt与编译安装取舍、用户与权限管理：sudo配置与最小权限。
延伸阅读：Nginx的502与504排查路径、CDN接入实操：回源、缓存与防刷配置、防火墙配置：firewalld与iptables怎么选。
微信公众号
微信客服
