backup节点需独立支持tls终止或透传，须与主节点证书、密钥、openssl版本及密码套件严格对齐；配合max_fails=1 fail_timeout=2s、proxy_next_upstream含https_400/https_421、keepalive及error_page降级，方可实现秒级灾备切换。

仅加 backup 关键字无法实现秒级灾备切换，尤其在核心加密链路（如 HTTPS/TLS 双向认证、mTLS 通信）场景下，必须将 backup 节点配置与健康探测、连接层容错、证书同步和故障拦截四者深度耦合。否则 Nginx 会因 TLS 握手失败、证书不匹配或密钥不可用而直接返回 502/503，根本触不到 backup 路由逻辑。

确保 backup 节点具备独立加密服务能力

backup 节点不是“镜像转发器”，而是能独立完成 TLS 终止或透传的可用终点：

• 若做 TLS 终止：backup 服务器需部署与主节点完全一致的域名证书、私钥及中间证书链，且私钥权限严格限制（600），避免被误读或泄露
• 若做 TLS 透传（如使用 proxy_ssl）：backup 节点必须支持 SNI 路由，并预加载目标后端的可信 CA 证书包，防止因证书校验失败中断连接
• 所有节点（含 backup）的 OpenSSL 版本、TLS 协议版本（建议显式启用 TLSv1.2+）、密码套件列表须严格对齐，避免握手协商失败

用被动健康检查驱动秒级标记与切换

加密链路失败常表现为连接超时、SSL handshake timeout、400 Bad Request（证书错误）等，这些必须被 Nginx 主动识别并计入健康状态：

• 为主节点和 backup 节点统一配置 max_fails=1 fail_timeout=2s，确保单次 TLS 握手失败即标记为 down
• 在 upstream 块中启用 keepalive 32; 并配合 proxy_ssl_verify off（仅限内部可信链路）或 proxy_ssl_trusted_certificate（对外强校验），避免因证书验证阻塞探测
• 禁用 proxy_ssl_session_reuse off 防止复用已失效的 SSL session，导致后续请求持续失败

重试策略必须覆盖加密层失败类型

默认情况下，Nginx 不会对 SSL 错误重试。需显式扩展 proxy_next_upstream 的触发条件：

• 在 location 中配置：proxy_next_upstream error timeout http_500 http_502 http_503 http_504 https_400 https_421;
• 其中 https_400 捕获证书不匹配、SNI 错误等 TLS 层报错；https_421 应对 ALPN 协商失败
• 搭配 proxy_next_upstream_tries 2 和 proxy_next_upstream_timeout 3s，确保总耗时可控、不拖长用户等待

兜底降级必须绕过加密依赖

当所有节点（包括 backup）均因加密问题不可达时，不能只返回 502，而应提供无 TLS 依赖的轻量响应：

• 用 error_page 502 503 504 = @degrade_tls; 拦截失败，跳转至本地处理块
• @degrade_tls 中禁用 proxy_pass，改用 return 200 返回预签名的 JWT 降级令牌，或返回带 Strict-Transport-Security 头的 HTML 提示页（强制浏览器仍走 HTTPS）
• 该降级路径不依赖任何外部证书或密钥，纯 Nginx 内置生成，毫秒级响应