关键是要显式配置resolver（如resolver 223.5.5.5 114.114.114.114 valid=30s ipv6=off）并配合变量形式proxy_pass（如set $backend "api.example.com"; proxy_pass http://$backend），才能实现按需dns刷新，避免因ip变更或解析卡顿导致502错误。
要真正用 resolver 动态 DNS 解析解决反代外部域名时的 502 错误，关键不是“加个 resolver 就行”，而是让 Nginx 每次请求都按需查 DNS、及时感知 IP 变更、并在解析失败时快速脱困。502 很多时候不是后端挂了，而是 Nginx 还在往一个已失效的旧 IP 发请求——或者卡在 DNS 查询上不动了。
必须显式配置 resolver，且不能依赖系统默认
Nginx 完全不读 /etc/resolv.conf，也不用宿主机或容器的 DNS 设置。漏配 resolver，就等于没开动态解析，proxy_pass 再怎么写变量也白搭。
- 推荐写在 http 块顶层，全局生效：
resolver 223.5.5.5 114.114.114.114 valid=30s ipv6=off; - valid=30s 是核心：它规定 DNS 结果最多缓存 30 秒，过期后强制重查，否则永远用旧 IP
- 至少配两个 nameserver，防止单点 DNS 不可用；禁用 IPv6（ipv6=off）可避免 AAAA 查询拖慢整体流程
proxy_pass 必须用变量，静态写法无效
哪怕 resolver 配得再好，只要写 proxy_pass http://api.example.com;，Nginx 就只在启动时解析一次，后续全走缓存 IP —— 后端换地址、漂移、扩缩容，它一概不知。
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
- 正确写法是在 location 中用 set 定义变量：
set $backend "http://api.example.com";
proxy_pass $backend; - 如果用 upstream，需 Nginx ≥ 1.19.0 并显式加 resolve：
upstream api_backend {
server api.example.com resolve valid=20s;
} - 注意：变量方式下 Host 头不会自动继承，需手动补：
proxy_set_header Host api.example.com;
resolver_timeout 要设得准，不是越大越好
它控制单次 DNS 查询最长等多久。设太短会误判丢包重传，设太长会让一个 worker 卡死，连锁引发大量 502。
- 纯公网环境（调第三方 API）：设 resolver_timeout 5s;，覆盖 95% 的 8.8.8.8 / 114.114.114.114 响应
- 内网 + 自建 DNS（如 CoreDNS）：可设 2s;，延迟低且稳定
- 严禁设 30s 或更高——一个卡住的 DNS 查询会阻塞整个 worker，迅速耗尽 worker_connections
配合重试与兜底，防止 DNS 故障扩散
resolver_timeout 只管“放弃查询”，但放弃之后怎么办？得有后续动作，否则还是返回 502。
- 启用自动故障转移：
proxy_next_upstream error timeout http_502;
当 DNS 解析失败返回 502，或连接超时，立即切到备用 upstream 或返回兜底页 - 限制并发压力：
worker_connections 1024;
keepalive_timeout 15s;
避免 DNS 卡顿引发连接堆积雪崩 - HTTPS 后端别忘了 SNI：
proxy_ssl_server_name on;
proxy_ssl_name "api.example.com";
否则 TLS 握手失败，照样 502
