nginx高可用需三层协同：进程级（master-worker热重载）、节点级（keepalived vip漂移）、健康感知（proxy_next_upstream+探测）。辅以云lb、k8s探针、dns多vip等外部机制防系统性风险。
Nginx 集群本身不自动实现高可用，必须通过“进程级容错 + 节点级冗余 + 主动健康感知”三层协同来保障稳定性。单靠多 Worker 进程只能防崩溃，不能抗宕机；真正稳得住，得靠架构组合拳。
用 Master-Worker 模型筑牢单机稳定性
这是高可用的底层根基：
- Master 进程只管调度，不处理请求，避免因业务逻辑导致主控失灵
- 每个 Worker 独立运行、独立收发、独立记录日志和连接状态，一个挂了不影响其他 Worker 继续服务
- 配置热重载（nginx -s reload）时，Master 启动新 Worker，旧 Worker 处理完已有长连接后优雅退出，全程无请求中断
- 通过 worker_shutdown_timeout 控制长连接等待上限，防止异常 Worker 卡死请求
靠 Keepalived 实现节点级故障自动切换
解决单机彻底失联的问题：
- 两台 Nginx 服务器各自运行完整 Master-Worker 架构，再由 Keepalived 管理同一个虚拟 IP（VIP）
- Keepalived 通过 VRRP 协议心跳检测，主节点失联后 1–3 秒内完成 VIP 漂移，客户端重连即可继续访问
- 配合自定义检查脚本（如检测 nginx 进程或端口是否响应），实现“Nginx 挂了就切”，不只是“机器挂了才切”
- 主备优先级要拉开（如主 100 / 备 90），避免脑裂；virtual_router_id 和 auth_pass 必须严格一致
加健康探测与智能重试提升请求韧性
让失败请求不卡死、可兜底：
- 在 upstream 块中启用 proxy_next_upstream，例如：
proxy_next_upstream error timeout http_502 http_503;
当后端服务不可达时，自动转发到集群中其他健康节点 - 设置 max_fails=3 fail_timeout=10s，连续失败 3 次后临时摘除该 server，10 秒后自动恢复探测
- 搭配 keepalive 连接池和 proxy_buffering off（流式场景），降低上游抖动对 Nginx 本体的影响
补足外部协同机制防系统性风险
单机+双节点仍不够，需延伸防护面：
- 前置云负载均衡（如阿里云 SLB、AWS ALB）：自带多可用区部署和秒级故障转移能力，比 Keepalived 更适合跨机房场景
- 容器化部署（K8s）：用 Liveness Probe 探活 Nginx，异常自动重建 Pod；Service 提供稳定 ClusterIP 和 DNS 服务发现
- DNS 轮询 + 多 VIP：两台 Nginx 各自绑定不同 VIP，DNS 返回两个 A 记录，实现流量分担+故障降级双目标
