Nginx-5 Nginx 的4层反向代理
Nginx-5 Nginx 的4层反向代理
Nginx 的4层反向代理即指在 OSI 传输层（TCP、UDP）提供的反向代理。
stream 模块处理请求的7个阶段
不过需要注意的是，这与 http 11个处理阶段的方式有所不同，4层反向代理中没有 http 中的概念，自然也无法通过 header 传递 IP 地址，以及通过 limit request 限制请求数。
因此，4层反向代理使用 proxy protocal 来传递 IP 地址。
realip
功能：通过 proxy_protocal 协议取出客户端真实地址，并写入 remote_addr 及 remote_port 变量，同时使用 reaiip_remote_addr 和 realip_remote_port 保留 TCP 连接中的对端地址和端口。
模块：ngx_stream_realip_module ，需要通过 --with 指令手动编译进 nginx。
Limit conn
功能：限制客户端并发连接数
limit_conn_zone key zone=name:size;limit_conn zone number;limit_conn_log_level info|notice|warn|error;
access
功能：根据客户端地址决定连接访问权限
allow 127.0.0.1;
deny all;
UDP 的反向代理
透传 IP 地址
目的：使上游服务拿到真实的客户端 IP
方法：
- protocol 协议
- 修改 IP 报文
- IP 地址透传，仍由 nginx 转发给客户端
- DSR，上游服务直接转发给客户端（仅UDP）
IP 地址透传
- nginx 转发上游服务时修改源地址为客户端地址
- 上游服务配置网关地址为 nginx
- nginx 监听上游服务发的报文转发给真实的客户端 A
DSR 方案1
- nginx 转发上游服务时修改源地址为客户端地址
- 上游服务配置网关地址为 nginx
- nginx 直接配置源地址为上游服务的报文修改源地址为本级地址后转发（借助 Linux 内核）
DSR 方案2
- nginx 转发上游服务时修改源地址为客户端地址
- 上游服务直接发送响应给对应客户端
DSR 方案会有这样的问题：
- nginx 会检测不到上游服务是否回包，导致负载均衡策略（判断上游服务是否存活）受限