一、二级域名配置的核心价值与适用场景

二级域名（如api.example.com、blog.example.com）作为主域名（example.com）的子层级，在业务架构中承担着重要角色。其核心价值体现在三个方面：一是业务模块化隔离，不同二级域名可独立部署不同服务（如Web应用、API接口、静态资源）；二是负载均衡优化，通过二级域名可将流量分散到不同服务器集群；三是安全策略细化，可针对不同二级域名实施差异化的SSL配置、访问控制等安全策略。

典型应用场景包括：微服务架构中不同服务的独立域名（如user.api.example.com、order.api.example.com）、多语言站点部署（en.example.com、zh.example.com）、测试环境隔离（dev.example.com、test.example.com）等。这些场景均需通过Nginx的虚拟主机（server块）配置实现二级域名的精准路由。

二、DNS解析配置：二级域名生效的前提

二级域名的DNS解析是整个配置流程的基础环节。以阿里云DNS为例，配置步骤如下：

登录DNS控制台，进入主域名的解析设置页面
添加记录类型为CNAME的解析记录，主机记录填写二级域名前缀（如api、blog）
记录值填写服务器IP或负载均衡器域名
设置TTL（建议300秒）以平衡生效速度与DNS查询效率

关键注意事项包括：避免DNS记录循环引用（如CNAME指向另一个CNAME）；确保DNS服务商支持泛域名解析（*.example.com）以简化批量管理；配置完成后使用dig api.example.com或nslookup api.example.com命令验证解析结果。

三、Nginx配置文件结构与虚拟主机实现

Nginx通过server块实现虚拟主机功能，每个二级域名对应一个独立的server配置。标准配置结构如下：

http {
    server {
        listen 80;
        server_name api.example.com;
        location / {
            proxy_pass http://backend_api;
            # 其他代理参数...
        }
    }
    server {
        listen 80;
        server_name blog.example.com;
        root /var/www/blog;
        index index.html;
    }
}

配置要点解析：

server_name指令：支持精确匹配（api.example.com）、通配符匹配（*.example.com）和正则匹配（~^(?.+).example.com$）
listen指令：可指定IP和端口（listen 192.168.1.100:80），支持IPv6配置
默认server处理：通过default_server参数指定捕获未匹配域名的请求，防止配置遗漏导致的502错误

四、HTTPS配置：SSL证书的二级域名适配

为二级域名配置HTTPS需注意证书类型选择：

单域名证书：仅保护特定二级域名（如api.example.com），成本低但扩展性差
通配符证书：保护*.example.com下的所有子域名，推荐使用Let’s Encrypt免费证书
多域名证书：可同时保护多个不同域名，适合混合部署场景

通配符证书配置示例：

server {
    listen 443 ssl;
    server_name *.example.com;
    ssl_certificate /etc/nginx/certs/example_com.pem;
    ssl_certificate_key /etc/nginx/certs/example_com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    location / {
        # 代理配置...
    }
}

证书更新自动化建议：使用Certbot工具配置定时任务，实现证书自动续期：

0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

五、高级配置场景与性能优化

1. 基于二级域名的负载均衡

upstream api_backend {
    server 10.0.0.1:8080 weight=3;
    server 10.0.0.2:8080;
    server 10.0.0.3:8080 backup;
}
server {
    server_name api.example.com;
    location / {
        proxy_pass http://api_backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

关键参数说明：weight控制流量分配比例，backup标记备用服务器，max_fails和fail_timeout实现故障自动隔离。

2. 二级域名的访问控制

server {
    server_name admin.example.com;
    location / {
        allow 192.168.1.0/24;
        deny all;
        auth_basic "Restricted Area";
        auth_basic_user_file /etc/nginx/.htpasswd;
    }
}

通过allow/deny指令实现IP白名单，结合auth_basic实现基础认证，双重防护敏感接口。

3. 静态资源分离优化

server {
    server_name static.example.com;
    root /data/static;
    location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
        expires 30d;
        add_header Cache-Control "public";
        access_log off;
    }
}

通过正则表达式匹配静态资源，设置长期缓存策略，显著提升加载速度。

六、故障排查与常见问题解决

1. 配置生效问题

现象：修改后配置未生效
排查步骤：
1. 执行nginx -t测试配置语法
2. 检查nginx.conf中include指令路径是否正确
3. 确认没有重复的server_name配置导致冲突
4. 查看Nginx错误日志（/var/log/nginx/error.log）

2. 域名解析失败

典型原因：
- DNS记录TTL未过期
- 本地hosts文件覆盖
- 运营商DNS缓存
解决方案：
- 使用dig +trace api.example.com跟踪解析过程
- 临时修改本地hosts文件测试
- 联系DNS服务商刷新缓存

3. SSL握手失败

常见错误：
- SSL_ERROR_BAD_CERT_DOMAIN：证书域名不匹配
- SSL_ERROR_SSL：协议版本不兼容
处理建议：
- 使用openssl s_client -connect api.example.com:443 -servername api.example.com诊断
- 确保配置中ssl_protocols包含客户端支持的版本

七、最佳实践与安全建议

配置管理：使用Git版本控制Nginx配置，实施配置变更审批流程
安全加固：
- 禁用SSLv3及以下版本
- 启用HSTS头（add_header Strict-Transport-Security "max-age=31536000"）
- 限制SSL密码套件（ssl_prefer_server_ciphers on）
性能监控：
- 配置stub_status模块监控连接数
- 使用Prometheus+Grafana搭建可视化监控
- 设置worker_rlimit_nofile避免文件描述符耗尽

通过系统化的二级域名配置，企业可实现服务模块的清晰隔离、资源的高效利用和安全的精细管控。建议定期审查配置，结合业务发展动态调整架构，持续优化用户体验与系统稳定性。

Nginx二级域名配置全攻略：从原理到实践