nginx默认http模块仅支持http/https，代理非标协议须启用stream模块（l4层），配置置于顶层stream块中，不解析应用层，兼容tcp/udp任意协议。
Nginx 默认的 http 模块（即 ngx_http_upstream_module）仅支持 HTTP/HTTPS 协议，无法直接代理非标准协议（如自定义 TCP/UDP、WebSocket 长连接、gRPC over HTTP/2、Redis 协议、MQTT、私有二进制协议等）。若要让 Nginx 兼容非标准协议，必须切换到 stream 模块（ngx_stream_core_module），这是 Nginx 从 1.9.0 版本起正式提供的四层（L4）负载均衡能力，工作在 TCP/UDP 层，不解析应用层内容，因此天然兼容任意基于 TCP 或 UDP 的协议。
以下是关键配置要点和实操建议：
启用 stream 模块并独立配置
Nginx 编译时需包含 `--with-stream` 参数（主流发行版包通常已启用）。配置必须放在顶层 `stream { ... }` 块中，**不能嵌套在 `http { ... }` 内**。 示例：代理一个自定义 TCP 服务（端口 9001）# /etc/nginx/nginx.conf 顶层添加（不在 http 块内）
stream {
upstream custom_backend {
server 192.168.1.10:9001 weight=3;
server 192.168.1.11:9001 weight=1;
server 192.168.1.12:9001 max_fails=2 fail_timeout=30s;
}
server {
listen 9001;
proxy_pass custom_backend;
proxy_timeout 1h; # 设置长连接超时
proxy_responses 1; # 仅用于 TCP，表示等待至少 1 次响应（可选）
proxy_buffer_size 4k; # 缓冲区大小，适配协议帧大小
}
}
处理连接健康与故障转移
`stream` 模块支持基础健康检查，但**不支持 HTTP 级探测（如 GET /health）**，只能依赖 TCP 连通性检测： - `max_fails` + `fail_timeout`：连续 TCP 连接失败次数及恢复窗口 - `resolve`：配合 DNS SRV 记录实现动态后端发现（需启用 `resolver`） - 不支持 `backup`、`down` 等标记（v1.19+ 支持 `backup`，但 `down` 仍不可用）建议搭配外部工具（如 Consul + nginx-upsync-module）或使用 keepalived 做前置 VIP 故障切换。
适配常见非标场景的注意事项
- WebSocket：虽属 HTTP 升级协议，但推荐用 `http` 模块 + `Upgrade`/`Connection` 头透传；若需四层透传（如跨域或 TLS 终止在后端），用 `stream`，但会丢失协议语义控制（如无法做子路径路由） - gRPC：必须用 `http` 模块（支持 HTTP/2），且后端需启用 h2；`stream` 模块仅能做纯 TCP 转发，无法处理 ALPN 协商和流复用 - UDP 协议（如 DNS、Syslog）：`stream` 模块支持 `udp` 协议，需加 `udp` 参数 ```nginx server { listen 53 udp; proxy_pass dns_backend; } ``` - 加密协议（TLS 终止在 Nginx）：`stream` 模块支持 `ssl_preread` 指令提取 SNI，实现基于域名的 TCP 分流，但**不终止 TLS**；如需解密再转发，必须用 `http` 模块或专用 TLS 代理（如 Envoy）验证与调试要点
- 使用 `nginx -t` 检查语法（`stream` 块错误不会被 `http` 块配置掩盖） - 查看 `error.log` 中 `stream` 相关日志（需在 `stream` 块中显式配置 `error_log`） - 用 `telnet` 或 `nc` 测试端口连通性，避免依赖应用层响应 - 注意防火墙、SELinux 及 `net.ipv4.ip_nonlocal_bind` 内核参数（尤其绑定非本地 IP 时）不复杂但容易忽略：stream 是独立于 http 的运行上下文，日志格式、变量、模块扩展均不互通。需要非标协议负载均衡，核心就是切换协议栈层级——别在 http 里硬扛，用对模块才能真正兼容。
