你以为Nginx只会做网站服务器？那可就太小看它了。这个看似普通的软件，其实是一位出色的网络交通指挥官。
1. 什么是Nginx Stream？为什么你需要了解它？
简单来说，Nginx Stream模块就是一个四层代理工具，专门处理原始TCP和UDP数据流。与我们熟知的HTTP模块（处理第七层应用数据）不同，Stream模块工作在更底层，就像一位指挥交通的警察，不关心车辆里坐着什么人，只负责把它们引导到正确的目的地。
传统Nginx主要处理HTTP/HTTPS请求：你访问一个网站，Nginx根据URL路径决定如何响应。
# 这是你熟悉的HTTP配置
server {
listen 80;
server_name example.com;
location / {
proxy_pass http://backend;
}
}Nginx Stream则处理任意TCP/UDP协议：数据库连接、邮件服务、DNS查询等。
# 这是Stream配置，完全不同！
stream {
upstream dns_servers {
server 192.168.0.1:53535;
server dns.example.com:53;
}
server {
listen 53 udp;
proxy_pass dns_servers;
}
}那么，为什么你需要了解Stream模块呢？因为在现代微服务架构中，很多核心服务并不使用HTTP协议。数据库、消息队列、自定义RPC服务等都直接基于TCP/UDP。通过Nginx Stream，你可以为这些服务增加负载均衡、故障转移和安全防护能力，极大地提升系统整体的稳定性和可扩展性。
2. 初窥门径：Stream模块基础配置
要使用Stream功能，首先需要在编译Nginx时加上
--with-stream
Stream配置不能放在http块内，而必须与events同级。通常，我们将其直接放在nginx.conf主配置文件中：
# 主配置文件 nginx.conf
events {
worker_connections 1024;
}
# Stream配置在这里，与events同级
stream {
upstream mysql_backend {
server 192.168.58.143:3306 weight=5;
server 192.168.58.142:3306 weight=1;
}
server {
listen 9945;
proxy_connect_timeout 1s;
proxy_timeout 3s;
proxy_pass mysql_backend;
}
}
http {
# 这里是你熟悉的HTTP配置
server {
listen 80;
# ...
}
}这个配置示例创建了一个MySQL数据库的负载均衡代理。客户端不再直接连接数据库服务器，而是连接到Nginx的9945端口，由Nginx将连接转发到后端的实际数据库服务器。
重要提醒：配置Stream时，有几点需要注意：
stream块必须与events块同级，不能嵌套在http块内server块内不能使用location指令（那是HTTP特有的）Stream的监听端口不能与HTTP监听端口冲突在Linux上，如果遇到权限问题，可能需要调整SELinux设置或使用root权限
3. 深入核心：Stream处理引擎的七个阶段
Nginx Stream处理TCP/UDP会话的过程，就像一条精心设计的流水线，分为七个清晰的阶段。了解这些阶段，有助于我们更好地理解Stream模块的工作原理和调试方法。
3.1 Post-accept（接受后阶段）
这是连接建立后的第一个阶段。ngx_stream_realip_module模块在这个阶段发挥作用，主要用于处理代理协议，提取客户端的真实IP地址。
当你的Nginx前面还有其他的代理服务器（如HAProxy、ELB）时，这个模块特别有用，它能确保你看到的是真实的客户端IP，而不是前一跳代理的IP。
3.2 Pre-access（预访问阶段）
这个阶段进行初步的连接检查。ngx_stream_limit_conn_module模块在此阶段工作，用于限制并发连接数，防止某个客户端占用过多资源，增强服务的抗压能力。
3.3 Access（访问控制阶段）
这是实际数据处理前的客户端访问限制阶段。ngx_stream_access_module模块在此阶段工作，基于IP地址进行访问控制，类似于HTTP模块中的allow/deny指令。
你可以这样配置IP访问控制：
stream {
server {
listen 12345;
proxy_pass backend;
# 访问控制
allow 192.168.1.0/24;
deny all;
}
}3.4 SSL（安全传输层阶段）
如果你需要加密TCP流量，这个阶段就至关重要。ngx_stream_ssl_module模块在此阶段提供TLS/SSL终止功能，可以对数据库连接等敏感流量进行加密。
SSL配置示例：
stream {
upstream backend {
server backend1.example.com:12345;
}
server {
listen 12345 ssl;
proxy_pass backend;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
}
}3.5 Preread（预读阶段）
这是Stream模块中最具特色的一个阶段。ngx_stream_ssl_preread_module模块在此阶段工作，它能够读取数据的初始字节（放入预读缓冲区），但不消费数据，从而允许基于内容进行路由决策。
比如，你可以在同一个端口上处理多种协议，通过分析初始字节来判断协议类型，然后转发到不同的上游服务器。
3.6 Content（内容处理阶段）
这是实际处理数据的强制阶段，通常是代理到上游服务器，或者返回指定的值给客户端。这个阶段是Stream处理流程的核心，大部分工作都在这里完成。
3.7 Log（日志记录阶段）
这是最后一个阶段，记录客户端会话的处理结果。ngx_stream_log_module模块在此阶段工作，记录会话的详细信息，用于后续分析和监控。
4. 实战演练：完整配置示例
理论说了这么多，现在我们来看几个实际可用的配置示例。
4.1 MySQL数据库负载均衡
假设你有两个MySQL服务器，希望通过Nginx实现负载均衡和高可用：
stream {
upstream mysql_backend {
hash $remote_addr consistent;
server 192.168.58.143:3306 weight=5 max_fails=3 fail_timeout=30s;
server 192.168.58.142:3306 weight=1 max_fails=3 fail_timeout=30s;
}
server {
listen 3306;
proxy_connect_timeout 1s;
proxy_timeout 3s;
proxy_pass mysql_backend;
tcp_nodelay on;
}
}这个配置中，我们使用
hash $remote_addr
max_fails
fail_timeout
4.2 DNS负载均衡
DNS服务器通常使用UDP协议，Nginx Stream也能很好地处理：
stream {
upstream dns_servers {
server 192.168.0.1:53535;
server dns.example.com:53;
}
server {
listen 53 udp reuseport;
proxy_timeout 20s;
proxy_pass dns_servers;
}
}注意这里的
udp
reuseport
4.3 基于SNI的路由（TLS预读）
这是一个高级应用，根据TLS握手中的SNI（服务器名称指示）信息路由不同的上游服务：
stream {
upstream backend1 {
server backend1.example.com:443;
}
upstream backend2 {
server backend2.example.com:443;
}
map $ssl_preread_server_name $backend {
~^app1. backend1;
~^app2. backend2;
default backend1;
}
server {
listen 443;
ssl_preread on;
proxy_pass $backend;
}
}这个配置允许在同一个端口上根据域名路由不同的TLS服务，而不需要解密流量，既保证了隐私又提高了性能。
5. 性能调优与高级技巧
配置正确只是第一步，优化性能才能发挥最大效用。
5.1 连接池与超时优化
stream {
upstream backend {
server backend1.example.com:12345;
server backend2.example.com:12345;
# 连接池设置
keepalive 32;
keepalive_timeout 30s;
}
server {
listen 12345;
proxy_pass backend;
proxy_connect_timeout 1s;
proxy_timeout 300s; # 长连接超时
proxy_buffer_size 16k;
# 预读缓冲区设置
preread_buffer_size 32k;
preread_timeout 30s;
}
}5.2 内核参数调优
通过listen指令的参数，我们可以调整底层套接字行为以优化性能：
stream {
server {
listen 12345 backlog=8192 rcvbuf=64k sndbuf=64k reuseport;
proxy_pass backend;
# TCP保活设置
so_keepalive=30m::10;
}
}这些参数含义如下：
backlog
rcvbuf
sndbuf
reuseport
so_keepalive
30m::10
5.3 监控与日志
完善的日志记录对于排查问题至关重要：
stream {
log_format basic '$remote_addr [$time_local] '
'$protocol $status $bytes_sent $bytes_received '
'$session_time';
server {
listen 12345;
proxy_pass backend;
access_log /var/log/nginx/stream-access.log basic;
error_log /var/log/nginx/stream-error.log;
}
}6. 常见问题与解决方案
在实际使用中，你可能会遇到一些问题，以下是常见问题的解决方法：
权限问题：在Linux上，绑定特权端口（如80、443）可能需要root权限。解决方案是使用setcap命令赋予Nginx二进制文件相应权限：
sudo setcap 'cap_net_bind_service=+ep' /usr/sbin/nginxSELinux阻止：如果遇到权限拒绝错误，可能是SELinux在作祟。可以临时禁用SELinux或配置正确的策略：
# 临时解决方案
setenforce 0
# 永久解决方案
vi /etc/selinux/config # 将SELINUX=enforcing改为SELINUX=disabled端口冲突：确保Stream监听端口不与HTTP监听端口或其他服务端口冲突。
性能问题：使用
reuseport
worker_processes
7. 总结：Stream模块的应用场景
Nginx Stream模块是一个功能强大但常被忽视的组件，它在以下场景中特别有用：
数据库负载均衡：MySQL、PostgreSQL、Redis等数据库的连接负载均衡和高可用DNS服务增强：DNS查询的负载均衡和缓存邮件代理：SMTP、IMAP、POP3服务的负载均衡自定义协议代理：任何基于TCP/UDP的自定义应用协议安全审计：作为网络流量的中间人，进行安全监控和审计多租户路由：根据协议特征将流量路由到不同的后端集群
通过深入了解Nginx Stream的处理引擎和配置技巧，你可以让这个“网络交通指挥官”更加高效地工作，为你的整个服务体系提供坚实可靠的底层支撑。
无论你是要构建高可用的数据库集群，还是要为自定义微服务提供负载均衡，Nginx Stream模块都值得你深入学习和使用。这个看似简单的工具，其实蕴含着巨大的能量，正等待着你去发掘！
本文仅代表作者个人观点，仅供参考。在实际生产环境中使用前，请务必进行充分的测试。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
相关文章
暂无评论...
![[Java ]使用 Hutool 工具库将日期转换为 `2025-01-01T17:30:08+08:00` 这种格式字符串](https://en2.dunling.com/img/3.jpg)
