此示例使用 HTML + Canvas 實現滑動拼圖驗證碼。Canvas繪制帶隨機缺口的背景，獨立滑塊按鈕監聽滑鼠/觸摸拖拽，實時將滑塊位置映射到Ca...
Nginx反向代理的三種模式解析
雲端運算與程式碼
2024年09月30日 12:26 1.6K+
品悟
本
文
摘
要
一、三種模式概述
（一）基於IP的反向代理
1. 優勢
- 精確性：可以根據特定IP地址或IP段進行非常精確的請求轉發。例如，企業內部網絡中，可以將特定部門的IP段請求轉發到專門為該部門提供服務的後端服務器，便於進行資源分配和管理。
- 安全性：對於一些需要限制特定IP訪問的場景非常有用。可以阻止某些惡意IP的訪問，或者只允許特定IP地址訪問後端的敏感服務。
2. 缺點
- 靈活性較差：如果客戶端的IP地址經常變動（如移動設備用戶），配置和管理會變得復雜。例如，當員工使用移動辦公設備，其IP地址可能因連接不同的網絡而改變，這就需要不斷更新反向代理的IP相關配置。
- IP地址依賴：在一些使用動態IP分配的網絡環境中，可能會導致轉發不穩定或者失效，因為IP地址的動態變化可能使原本的轉發規則失效。
（二）基於域名的反向代理
1. 優勢
- 便於管理多個站點：在托管多個域名的情況下，能根據域名清晰地將請求導向不同的後端服務器。例如，一個Web服務器提供商可以根據不同客戶的域名，將請求準確轉發到每個客戶對應的Web應用服務器上。
- 對用戶友好：符合用戶對域名訪問的習慣。用戶通過輸入不同的域名就可以訪問到對應的服務，而不需要關心服務器的具體IP等復雜信息。
2. 缺點
- 域名解析依賴：如果域名解析出現問題，如DNS服務器故障或者域名被惡意篡改解析記錄，那麼基於域名的反向代理將無法正常工作。
- 配置相對復雜：在有大量域名需要管理時，配置文件可能會變得復雜，需要仔細維護域名與後端服務器的映射關系。
（三）基於端口的反向代理
1. 優勢
- 區分服務類型方便：通過不同的端口可以輕松區分不同類型的服務。例如，將HTTP服務（通常使用80端口）和HTTPS服務（通常使用443端口）轉發到不同的後端服務器，或者將Web服務和數據庫服務（可能使用3306端口等）分開代理。
- 資源隔離性較好：可以根據端口對不同的服務進行資源隔離。不同端口對應的服務在後端可以有不同的資源分配策略，便於服務器資源的管理和優化。
2. 缺點
- 端口沖突風險：如果在同一臺服務器上有多個服務需要使用反向代理，可能會出現端口沖突的情況。特別是在復雜的網絡環境中，管理端口的使用可能會變得困難。
- 對防火墻配置要求高：防火墻需要正確配置以允許特定端口的流量通過，否則基於端口的反向代理將無法正常工作。而且如果防火墻規則變更，可能會影響到反向代理的正常運行。
二、三種模式的不同點
（一）基於端口與基於域名的反向代理不同點
1. 識別依據不同
- 基於域名的反向代理依據客戶端請求的域名來決定轉發目標。例如，當用戶訪問`qunapu.com`時，反向代理會根據配置將該請求轉發到對應的後端服務器。
- 基於端口的反向代理則是根據請求的端口號進行轉發。比如，80端口的請求和8080端口的請求可能會被轉發到不同的後端服務器，與域名無關。
2. 應用場景側重不同
- 基於域名的反向代理更適合多站點托管的場景。一個Web服務器提供商可以通過這種方式為多個客戶提供服務，每個客戶有自己獨立的域名，反向代理根據域名準確地將請求導向相應客戶的Web應用服務器。
- 基於端口的反向代理側重於區分同一服務器上不同類型的服務。例如，將HTTP和HTTPS服務通過不同端口區分開來轉發到不同的後端處理程序，或者將Web服務和數據庫服務等不同類型的服務基於端口進行分離代理。
（二）基於端口與基於IP的反向代理不同點
1. 識別依據不同
- 基於IP的反向代理根據客戶端的IP地址進行轉發決策。例如，企業可以將內部特定部門的IP段（如`192.168.1.0/24`）的請求轉發到專門為該部門設置的後端服務器。
- 基於端口的反向代理依據的是請求所使用的端口號，而不關心客戶端的IP地址具體是什麼。
2. 靈活性與針對性不同
- 基於IP的反向代理在針對特定IP來源進行控制方面更具針對性，但靈活性較差，尤其是面對IP地址經常變動的情況（如移動設備用戶），配置和管理難度會增大。
- 基於端口的反向代理在區分同一服務器上不同服務類型時更靈活，能夠方便地根據端口對服務進行分類處理和資源隔離，但它不涉及基於IP的訪問控制功能。
（三）基於域名與基於IP的反向代理不同點
1. 識別依據不同
- 基於域名的反向代理依據的是域名，用戶通過輸入不同的域名來訪問不同的服務或網站。
- 基於IP的反向代理依據的是客戶端的IP地址或IP段。
2. 管理復雜度及影響因素不同
- 基於域名的反向代理在管理大量域名時配置文件可能會變得復雜，且其正常工作依賴於域名解析的準確性。如果域名解析出現問題，如DNS服務器故障或域名解析記錄被惡意篡改，反向代理將無法正常工作。
- 基於IP的反向代理在面對動態IP分配環境時可能會出現轉發不穩定或失效的情況，因為IP地址的動態變化可能導致原本的轉發規則不再適用。同時，對於IP地址經常變動的客戶端，其配置和管理也較為復雜。
三、Nginx中配置基於域名和基於IP的反向代理
（一）Nginx中配置基於域名的反向代理
1. 配置步驟
- 首先，編輯Nginx的配置文件（通常是`nginx.conf`或在`conf.d`目錄下創建一個單獨的配置文件，如`qunapu.com.conf`）。
- 假設要將`qunapu.com`域名的請求反向代理到後端服務器`192.168.1.100`，示例配置如下：
server {
listen 80;
server_name qunapu.com;
location / {
proxy_pass http://192.168.1.100;
proxy_set_header Host $host;
proxy_set_header X - Real - IP $remote_addr;
}
}- 在這個配置中，`server_name`指令指定了要處理的域名，`listen`指令設置了監聽的端口（這裏是80端口），`proxy_pass`指令定義了將請求轉發到的後端服務器地址。`proxy_set_header`指令用於設置一些請求頭信息，確保後端服務器能正確獲取到客戶端相關信息。
（二）Nginx中配置基於IP的反向代理
1. 配置步驟
- 同樣編輯Nginx配置文件。如果要根據客戶端IP地址將特定IP段（如`192.168.1.0/24`）的請求反向代理到後端服務器`192.168.1.200`，可以使用`map`指令結合`proxy_pass`來實現。示例配置如下：
map $remote_addr $backend {
~^192.168.1.0/24$ 192.168.1.200;
default "";
}
server {
listen 80;
location / {
proxy_pass http://$backend;
proxy_set_header Host $host;
proxy_set_header X - Real - IP $remote_addr;
}
}- 這裏，`map`指令創建了一個映射關系，將符合`192.168.1.0/24`這個IP段的客戶端IP地址映射到後端服務器`192.168.1.200`。在`server`塊的`location`部分，`proxy_pass`根據`map`的映射結果將請求轉發到相應的後端服務器。
四、基於域名的反向代理對後端服務器的健康檢查
1. 使用Nginx的ngx_http_upstream_module模塊
- 在基於域名的反向代理配置中，也可以利用Nginx的`ngx_http_upstream_module`模塊實現對後端服務器的健康檢查。
- 首先，定義上遊服務器組。例如，假設後端服務器的域名為`backend.qunapu.com`，對應的IP地址為`192.168.1.100`，配置如下：
upstream backend_pool {
server backend.qunapu.com;
# 設置健康檢查相關參數
check interval=3000 rise=2 fall=5;
# interval表示檢查間隔時間（單位為毫秒），這裏是3秒
# rise表示連續成功多少次認為服務器健康，這裏是2次
# fall表示連續失敗多少次認為服務器不可用，這裏是5次
}- 然後，在基於域名的反向代理配置中使用這個上遊服務器組。例如：
server {
listen 80;
server_name qunapu.com;
location / {
proxy_pass http://backend_pool;
proxy_set_header Host $host;
proxy_set_header X - Real - IP $remote_addr;
}
}2. 基於域名解析和連接測試的自定義腳本（可選）
- 編寫自定義腳本進行健康檢查也是一種可行的方法。例如，可以先通過域名解析獲取後端服務器的IP地址，然後進行連接測試。
- 以下是一個簡單的Python腳本示例（假設使用`dnspython`庫進行域名解析和`socket`庫進行連接測試）：
import dns.resolver
import socket
def check_backend_server(domain):
try:
# 解析域名獲取IP地址
answers = dns.resolver.resolve(domain, 'A')
for rdata in answers:
ip = str(rdata)
try:
# 嘗試建立連接，這裏使用80端口作為示例
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.settimeout(1)
result = sock.connect_ex((ip, 80))
if result == 0:
print(f"Server {domain} ({ip}) is reachable.")
else:
print(f"Server {domain} ({ip}) is not reachable.")
sock.close()
except socket.error as e:
print(f"Error connecting to {domain} ({ip}): {e}")
except dns.resolver.NoAnswer as e:
print(f"Domain {domain} has no A record: {e}")
except dns.resolver.NXDOMAIN as e:
print(f"Domain {domain} does not exist: {e}")- 在Nginx配置中，可以結合`ngx_http_proxy_module`的`proxy_next_upstream`指令來根據自定義腳本的檢查結果決定是否將請求轉發到其他後端服務器（如果有多個後端服務器可供選擇）。例如：
server {
listen 80;
server_name qunapu.com;
location / {
proxy_next_upstream error timeout http_500 http_502 http_503 http_504;
proxy_pass http://backend.qunapu.com;
proxy_set_header Host $host;
proxy_set_header X - Real - IP $remote_addr;
}
}- 這裏，`proxy_next_upstream`指令指定了在遇到特定錯誤（如`error`、`timeout`以及HTTP狀態碼為`500`、`502`、`503`、`504`）時，將請求轉發到下一個可用的後端服務器。如果結合自定義腳本的健康檢查結果，可以更靈活地管理後端服務器的可用性。
相關文章
