nginx stream模块不支持流量镜像，仅提供tcp/udp单路转发与负载均衡；其无mirror指令、不解析应用层、不复制流量，需借助iptables+tee、tcpdump+tcpreplay、自研tcp代理或envoy等专用网关实现镜像。
Nginx 的 Stream 模块本身不支持流量镜像。它只做四层（TCP/UDP）的单路转发或负载均衡，没有类似 HTTP 层 mirror 指令那样的原生镜像能力。
如果你需要对 TCP 流量做镜像（即：一份真实流量照常转发给主后端，另一份异步复制到镜像目标，且互不影响），目前 Nginx 官方 没有内置方案。必须借助外部工具或变通方式实现。
✅ 正确理解 Stream 模块的能力边界
- Stream 模块工作在传输层，不解析、不复制、不缓存应用层数据；
- 所有
proxy_pass是一对一连接转发，非广播或复制； - 不支持
mirror、mirror_request_body等指令（这些仅存在于http模块的ngx_http_mirror_module中）； - 健康检查、超时、缓冲、backup 服务器等能力都围绕“主路径转发”设计，无旁路副路径。
⚠️ 常见误解与误区
- ❌ 把
stream { ... mirror /xxx; }当作合法配置 → 会报错unknown directive "mirror"； - ❌ 在
stream块里尝试用location或internal→ 这些是http模块语法，不适用； - ❌ 以为
proxy_responses 1或proxy_buffer_size可用于“截获并重发” → 它们只控制连接行为，不产生副本。
? 可行的替代方案（按推荐度排序）
1. 使用 tcpreplay + tcpdump 组合（离线/测试环境）
- 在网关节点抓取
tcpdump -i eth0 port 3306 -w db-traffic.pcap； - 用
tcpreplay --loop=0 --multiplier=1 db-traffic.pcap回放至镜像服务； - 适合压测、日志回溯、安全分析等非实时、低延迟要求场景。
2. 用 iptables + TEE 目标（Linux 内核级镜像）
# 将发往本机 5432 的流量，镜像一份到 192.168.1.200:5432 iptables -t mangle -A PREROUTING -p tcp --dport 5432 \ -j TEE --gateway 192.168.1.200
- 需目标机器开启对应端口监听（如用
nc -l 5432或专用镜像代理）； - 零 Nginx 依赖，性能高，但不支持负载均衡、健康检测、协议识别；
- 注意：
TEE仅复制入向流量（PREROUTING），出向需额外规则。
3. 自研轻量 TCP 代理（Go/Python 实现）
- 用
net.Listen("tcp", ":5433")接收连接； - 同时 dial 主后端 + 镜像后端；
- 使用 goroutine 分别 copy
conn ↔ main和conn ↔ mirror； - 可加入采样率（如
rand.Float64() ）、协议头识别、连接限速等逻辑； - 示例项目：github.com/freddierice/tcp-mirror（开源轻量实现）。
4. 使用专业四层镜像网关（生产推荐）
- Traefik Enterprise：支持 TCP 镜像（需企业版）；
-
Envoy：通过
cluster的request_mirror_policy实现 TCP 层镜像（需 v1.27+，配合tcp_proxyfilter）； -
商业 LB 设备（如 F5、Citrix ADC）：通常提供
clone或mirror pool功能。
? 小结：Stream 模块能做什么？不能做什么？
| 能力 | 是否支持 | 说明 |
|---|---|---|
| TCP/UDP 端口转发 | ✅ | 核心功能，稳定可靠 |
| 多后端轮询/最小连接/IP Hash 负载均衡 | ✅ |
upstream 原生支持 |
| TCP 连通性健康检查 | ✅ |
max_fails / fail_timeout
|
| 设置连接超时、缓冲区大小 | ✅ |
proxy_timeout / proxy_buffer_size
|
| 流量镜像（一份进，两份出） | ❌ | 官方不支持，无等效指令或机制 |
Nginx Stream 是优秀的四层代理，但镜像属于更高级的流量治理能力，需跳出 Nginx 单一组件思维，结合系统工具或专用网关协同解决。
