nginx通过upstream分组隔离、主动健康检查、least_conn算法与max_conns限制，实现故障自动剔除和压力分散，防止ddos导致后端集群雪崩；配合精准重试控制与全局限流，切断压力放大链。
用 upstream 配置防范 DDoS 引发的后端集体瘫痪，关键不是靠单点加固，而是让 Nginx 主动分压、快速隔离、拒绝无效放大。它不能挡住所有攻击流量，但能防止一台后端拖垮整个集群。
分组隔离 + 主动健康检查，避免故障蔓延
DDoS 常导致部分节点响应变慢或超时，若不干预，轮询仍会持续打过去，形成连锁崩溃。必须把不同业务或风险等级的服务拆成独立 upstream 组，并配主动探测：
- 为登录、支付等高危接口单独建 upstream，例如 upstream login_cluster { ... }，和静态资源、API 分开，防攻击横向扩散
- 在 upstream 块中加 health_check interval=5 fails=2 passes=2;（Nginx Plus）；开源版可用 max_fails=2 fail_timeout=15s 搭配 proxy_next_upstream error timeout http_502 http_503 http_504
- 检查路径要真实反映服务状态，比如 check_http_expect_alive 2xx 3xx;，别用返回 200 的空 /health 接口
选对调度算法，抑制连接堆积
轮询本身无感知能力，容易把请求持续导向已卡住的节点。least_conn 更适合应对 DDoS 下的连接耗尽问题：
- 启用 least_conn; 优先选当前活跃连接最少的节点，天然缓解长连接场景（如 WebSocket 网关、实时 API）的压力堆积
- 每台 server 必须设 max_conns=150，硬性限制单实例最大并发连接数，防某台被刷爆后拖累全局
- 慎用 ip_hash：NAT 环境下易造成“IP 聚合攻击”，一个出口 IP 被打爆，整片用户失效；可改用 hash $request_uri consistent;，更均匀且利于缓存穿透防护
前置限流 + 严格重试控制，切断压力放大链
很多雪崩不是来自攻击本身，而是 Nginx 错误重试把一次失败变成三次打满：
- 对非幂等操作（如 POST 提交订单、支付回调），直接禁用重试：proxy_next_upstream_tries 1;
- 只对真正可重试的错误开启重试，显式列出：proxy_next_upstream error timeout http_502 http_503 http_504;，禁用 http_500 和所有 4xx
- 在 http 块中配置全局限流：limit_req_zone $binary_remote_addr zone=ddos:10m rate=10r/s;，并在关键 location 中调用：limit_req zone=ddos burst=20 nodelay;
透传真实信息 + 日志可观测，支撑快速响应
防御效果必须可验证，否则配置只是摆设：
- location 中 proxy_pass 后务必设置：proxy_set_header Host $host;、X-Real-IP $remote_addr;、X-Forwarded-For $proxy_add_x_forwarded_for;，确保后端日志和 WAF 规则有效
- access_log 中加入 $upstream_addr 字段，可直接看到每次请求实际落到哪台机器，验证 least_conn 和健康检查是否生效
- 手动停掉一台后端，观察 error.log 是否出现 upstream timed out 或 failed to connect，确认 fail_timeout 内是否自动跳过该节点
