max_fails和fail_timeout协同决定后端节点摘除时机：常规web服务设为3/30s，高qps服务调为20/10s，慢响应服务设为2–3/60s；必须配合proxy_next_upstream启用主动重试。
max_fails 和 fail_timeout 是 Nginx upstream 实现被动健康检查的核心参数，它们不控制“是否重试”，而是决定“何时把后端节点临时摘除”。配得过松，故障节点持续拖累整体；配得过紧，一次网络抖动就误判下线，引发流量震荡。关键不在固定数值，而在匹配业务节奏。
按业务类型动态调参
这两个参数必须协同调整，不能只改一个：
- 常规 Web 服务（如官网、后台管理）：max_fails=3，fail_timeout=30s。这是大多数团队的起点配置，30 秒内连续失败 3 次才摘除，既避开偶发超时，又不会让故障节点长期承接流量。
- 高 QPS 服务（如 API 网关、订单中心）：fail_timeout=10s，max_fails=20。高并发下单次错误更常见，若仍用 max_fails=3，容易因瞬时毛刺频繁摘除节点。缩短检测窗口 + 提高容错阈值，更贴合真实压测和线上表现。
- 慢响应服务（如报表导出、大文件上传）：fail_timeout=60s，max_fails=2–3。单次请求耗时可能达几十秒，若 fail_timeout 还设 10s，只要一次慢就触发计数，极易误判。延长窗口时间，让失败统计落在合理请求周期内。
必须配合 proxy_next_upstream 才算完整容错
仅靠 max_fails/fail_timeout 只能“事后摘机”，无法解决单次请求失败时的用户体验问题。必须启用主动重试机制：
- 在 location 块中明确配置：proxy_next_upstream error timeout http_500 http_502 http_503 http_504;
- 限制重试范围：proxy_next_upstream_tries 3;（最多换 2 个其他节点再返回错误）
- 控制总耗时：proxy_next_upstream_timeout 10s;（整个重试过程不能超过 10 秒，避免用户无感知卡顿）
注意：proxy_next_upstream 默认不开启任何重试条件，写成 proxy_next_upstream off; 或直接不写，都等于禁用重试。
避免常见配置陷阱
- 不要设 max_fails=0：这等价于关闭失败计数，节点永远不下线，故障会持续影响流量。
- 不要设 max_fails ≥ 10 且 fail_timeout 过长：比如 max_fails=15 fail_timeout=60s，意味着节点可能在 1 分钟内累计失败 15 次才下线——此时大量请求已失败，失去保护意义。
- backup 节点不是“兜底万能解”：它只在所有非 backup 节点都被标记为 down 时才启用。如果 fail_timeout 太短，backup 可能被频繁激活，反而掩盖真实稳定性问题。
- down 标记是手动的，不参与自动检测：server 192.168.1.10:8080 down; 表示永久离线，Nginx 完全跳过它，适合维护场景，但不能替代 max_fails 机制。
验证是否生效的小技巧
不用等线上出问题，本地就能快速验证：
- 起两个 Python HTTP 服务（端口 8001/8002），在 upstream 中配置它们并启用 max_fails=2 fail_timeout=10s；
- 用 curl 循环请求，同时手动 kill -9 一个服务进程；
- 观察接下来 10 秒内请求是否全部落到存活节点，且第 11 秒开始 Nginx 是否尝试向恢复节点发新请求（可通过 access_log 或 netstat 看连接目标确认）。
真正的生产可用，不在于参数多“高级”，而在于它贴合你的流量特征、后端响应习惯和运维节奏。
