一、容器化部署架构设计
在云原生环境下，推荐采用容器化方式部署Nginx反向代理服务。典型架构包含三个核心网络平面：

外部网络层：承载80/443端口的公网访问流量
反向代理网络：连接Nginx与各个业务容器
内部服务网络：业务容器间的通信网络

建议使用Docker Compose进行编排，关键配置参数如下：

version: '3.8'
services:
  nginx-proxy:
    image: nginx:alpine
    container_name: reverse-proxy
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./config:/etc/nginx/conf.d
      - ./certs:/etc/nginx/certs
      - ./logs:/var/log/nginx
    networks:
      - proxy-net
      - service-net
    restart: unless-stopped
networks:
  proxy-net:
    driver: bridge
  service-net:
    external: true

二、SSL证书管理方案
现代Web服务必须启用HTTPS加密通信，推荐采用Let’s Encrypt免费证书：

使用Certbot工具自动获取证书
证书存储路径建议统一管理：
- /etc/nginx/certs/fullchain.pem (公钥)
- /etc/nginx/certs/privkey.pem (私钥)

配置文件权限设置：

chmod 600 /etc/nginx/certs/privkey.pem
chmod 644 /etc/nginx/certs/fullchain.pem

三、核心配置文件详解
配置文件采用模块化设计，包含三个关键文件：

默认配置文件（default.conf）
实现HTTP到HTTPS的强制跳转：

server {
 listen 80;
 server_name _;
 return 301 https://$host$request_uri;
}

主配置文件（main.conf）
处理SSL终止和基础路由：

server {
 listen 443 ssl;
 server_name example.com;
 ssl_certificate /etc/nginx/certs/fullchain.pem;
 ssl_certificate_key /etc/nginx/certs/privkey.pem;
 ssl_protocols TLSv1.2 TLSv1.3;
 ssl_ciphers HIGH:!aNULL:!MD5;
 location / {
     proxy_pass http://default-service:8080;
     proxy_set_header Host $host;
     proxy_set_header X-Real-IP $remote_addr;
 }
}

服务路由配置（services/）
为每个子服务创建独立配置文件，例如vault.conf：
```nginx
upstream vault_backend {
server vault-service:80;
keepalive 32;
}

server {
listen 443 ssl;
server_name vault.example.com;

ssl_certificate /etc/nginx/certs/fullchain.pem;
ssl_certificate_key /etc/nginx/certs/privkey.pem;
location / {
    proxy_pass http://vault_backend;
    proxy_http_version 1.1;
    proxy_set_header Connection "";
    # WebSocket支持
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}
# 静态资源缓存配置
location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
    expires 30d;
    add_header Cache-Control "public";
}

}


四、高级功能实现
1. 健康检查机制
```nginx
location /health {
    access_log off;
    allow 127.0.0.1;
    deny all;
    return 200 "healthy\n";
}

请求限流配置
```nginx
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;

server {
location /api/ {
limit_req zone=one burst=5;
proxy_pass http://api-service;
}
}


3. A/B测试路由
```nginx
split_clients $remote_addr $ab_test {
    50% "group_a";
    50% "group_b";
}
upstream group_a {
    server service-v1:80;
}
upstream group_b {
    server service-v2:80;
}
server {
    location /experimental {
        if ($ab_test = "group_a") {
            proxy_pass http://group_a;
        }
        proxy_pass http://group_b;
    }
}

五、运维最佳实践

配置热重载机制
```bash

测试配置语法

docker exec nginx-proxy nginx -t

平滑重载配置

docker exec nginx-proxy nginx -s reload


2. 日志管理方案
```nginx
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$http_x_forwarded_for"';
access_log /var/log/nginx/access.log main;
error_log /var/log/nginx/error.log warn;

性能优化参数
```nginx
worker_processes auto;
worker_rlimit_nofile 65535;
events {
worker_connections 4096;
multi_accept on;
}

http {
sendfile on;
tcp_nopush on;
tcp_nodelay on;
keepalive_timeout 65;
types_hash_max_size 2048;
client_max_body_size 20M;
}
```

六、故障排查指南

常见问题诊断流程：
- 检查容器日志：docker logs nginx-proxy
- 验证网络连通性：docker exec nginx-proxy curl -v http://service:80
- 测试SSL握手：openssl s_client -connect example.com:443 -servername example.com
典型问题解决方案：
- 502 Bad Gateway：检查后端服务是否正常运行
- 证书过期：设置自动化续期脚本
- 连接超时：调整proxy_read_timeout参数

通过这种结构化配置方案，可以实现单个域名下不同二级域名精准映射到多个后端服务，同时支持SSL终止、负载均衡、健康检查等企业级功能。实际部署时建议结合CI/CD流水线实现配置文件的自动化管理，通过监控系统实时跟踪服务状态，构建高可用的反向代理架构。

如何通过Nginx实现单域名多服务反向代理配置

测试配置语法

平滑重载配置