直接用 nginx 实现全站 https 负载均衡的关键是 tls 终止与流量分发一体化：nginx 监听 443 端口解密 https，再以 http/https 转发至 upstream 后端；需配置证书、tls 1.2+、http/2、强加密套件、hsts 及真实 ip 透传。
直接用 Nginx 实现全站 HTTPS 负载均衡，关键是把 TLS 终止和流量分发合在一起做：Nginx 先解密 HTTPS 请求，再以 HTTP（或 HTTPS）方式转发给后端服务。整个链路从用户浏览器到 Nginx 是加密的，后端可走内网 HTTP，既安全又高效。
配置 HTTPS 入口并启用强加密
在 server 块中监听 443 端口，加载证书，并强制使用现代 TLS 协议：
- 写明
listen 443 ssl http2;，开启 HTTP/2 提升传输效率 - 指定证书路径：
ssl_certificate /path/to/fullchain.pem;和ssl_certificate_key /path/to/privkey.pem; - 只允许 TLS 1.2 及以上：
ssl_protocols TLSv1.2 TLSv1.3; - 禁用弱加密套件，推荐前向保密组合：
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; - 加 HSTS 头防降级：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; - 强制跳转 HTTP 到 HTTPS：
return 301 https://$host$request_uri;放在另一个监听 80 的 server 块里
定义后端服务组（upstream）
在 http 块内声明一组后端服务器，支持多种调度策略：
- 轮询（默认）：
upstream backend { server 192.168.1.10:8080; server 192.168.1.11:8080; } - 加权轮询（适配不同性能）：
server 192.168.1.10:8080 weight=3;和server 192.168.1.11:8080 weight=1; - 会话保持（如需登录态绑定）：
ip_hash;放在 upstream 内首行 - 健康检查增强可用性：
server 192.168.1.10:8080 max_fails=3 fail_timeout=30s;
反向代理与请求头透传
在 server 的 location 中调用 upstream，并确保后端能拿到真实信息：
- 用
proxy_pass http://backend;转发到 upstream 名称（后端走 HTTP 内网即可） - 重设 Host 头：
proxy_set_header Host $host;，避免硬编码域名 - 传递真实客户端 IP：
proxy_set_header X-Real-IP $remote_addr;和proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; - 隐藏 Nginx 版本信息：
server_tokens off;（建议放在 http 或 server 级） - 限制非法请求方法：
if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|PATCH)$) { return 405; }
验证与安全加固
上线前建议做几项关键检查：
- 用
nginx -t检查配置语法是否正确 - 用
curl -I https://your-domain.com确认返回 200 且含strict-transport-security头 - 确认后端日志中
X-Real-IP字段是真实用户 IP，不是 Nginx 本机地址 - 用 SSL Labs 的 SSL Test 扫描评分，目标 A+ 级别
- 定期更新证书，建议配合 Certbot 自动续签
