nginx stream模块专为四层代理设计，不解析应用层协议，仅基于ip和端口转发tcp/udp流量，低延迟高吞吐，适用于数据库、redis等长连接场景；需编译时启用--with-stream、配置与http同级、支持least_conn等算法及proxy协议透传。
Nginx 的 Stream 模块专为四层（传输层）代理设计，不解析应用层协议，直接转发 TCP/UDP 流量，性能接近原生连接，适合数据库、Redis、MQ、游戏服务器、DNS 等对延迟和吞吐敏感的场景。关键在于正确启用模块、合理配置 upstream 和 proxy 参数，并注意连接生命周期管理。
确认 Nginx 已编译并启用 stream 模块
Stream 模块默认不启用，需在编译时显式添加 --with-stream 参数。运行以下命令验证：
nginx -V 2>&1 | grep -o with-stream若无输出，说明未启用；Docker 用户建议使用官方 nginx:alpine 或 nginx:mainline 镜像（已内置 stream）；Ubuntu/Debian 的 apt 包通常不含 stream，推荐源码编译或使用 nginx-full（Debian 12+/Ubuntu 22.04+ 可能已包含）。
基础 TCP 负载均衡配置示例
以 MySQL 服务为例，在 nginx.conf 的顶层（与 http 块同级）添加 stream 块：
upstream mysql_backend {
server 192.168.1.10:3306 max_fails=3 fail_timeout=30s;
server 192.168.1.11:3306 max_fails=3 fail_timeout=30s;
least_conn;
}
server {
listen 3306;
proxy_pass mysql_backend;
proxy_timeout 1h;
proxy_responses 1;
}
}
说明：
• least_conn 适用于长连接、连接数不均的后端（如数据库）；
• proxy_timeout 控制空闲连接超时，避免被中间设备（如防火墙、云LB）断连；
• proxy_responses 1 表示仅等待第一个响应包即认为连接建立成功（适用于无握手协议的 TCP 服务）；
• 不支持 rewrite、header 修改等七层功能，所有规则必须基于 IP/端口/连接状态。
UDP 负载均衡与健康检查要点
UDP 是无连接协议，健康检查不能依赖 TCP 握手。Nginx 1.19.0+ 支持 health_check 指令配合自定义 match 块模拟探测：
stream {match mysql_handshake {
send \x2d;
expect ~* "5.7|8.0";
}
upstream dns_udp {
server 192.168.2.5:53;
server 192.168.2.6:53;
health_check interval=5 passes=2 fails=3 match=dns_response;
}
match dns_response {
expect ~* "\x81\x80"; # DNS response flag
}
server {
listen 53 udp;
proxy_pass dns_udp;
proxy_timeout 30s;
}
}
注意：
• UDP server 块中 listen 53 udp 必须显式声明 udp；
• match 块用十六进制（\x）或正则匹配原始二进制响应；
• 实际 DNS 场景建议搭配 proxy_responses 1 防止响应乱序；
• UDP 不支持 session 持久化（ip_hash 不生效），如需会话保持需由客户端或上层设备实现。
生产环境关键调优与避坑项
• 连接复用：Stream 模块默认不复用连接，每个客户端连接独占一个后端连接。高并发下需控制 worker_connections 和系统文件描述符限制（ulimit -n）；
• 日志记录：通过 log_format 和 access_log 在 stream 块中开启连接级日志，但避免写磁盘影响性能，推荐发往 syslog 或 buffer 写入；
• TCP Fast Open：在 listen 指令后加 so_keepalive=on 或 fastopen=on（需内核支持），降低建连延迟；
• SSL 透传：若后端 TLS 终止，Stream 只做 TCP 代理，无需解密；如需 TLS 卸载（如 MQTT over TLS），需用 ssl_preread 模块提取 SNI 后路由，属高级用法；
• 监控指标：利用 stub_status（需编译时加 --with-stream_stub_status_module）暴露 active、accepted、handled 等连接统计，接入 Prometheus。
