Nginx 配置 TCP 代理支持对特定端口的流量劫持-Nginx-PHP中文网

nginx stream模块通过四层透明转发实现tcp/udp端口映射，不解析应用层协议，需确认编译含--with-stream、配置与http同级、配合防火墙及连通性检查。

nginx 配置 tcp 代理支持对特定端口的流量劫持

Nginx 本身不支持“劫持”这种带强制拦截或中间篡改语义的操作，它做的是透明转发——即按配置把指定端口的 TCP 流量原样转发到后端服务。所谓“流量劫持”，在运维语境中常被误用，实际指的就是端口监听 + 协议透传，Nginx 的 stream 模块正是为此设计。

要让 Nginx 对特定端口（比如 8080、53、22、6379 等）实现可控的 TCP 流量转发，关键在于三点：模块可用、配置位置正确、网络路径通畅。

必须启用 stream 模块

Nginx 默认不编译 stream 模块。确认方式很简单：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

运行 nginx -V 2>&1 | grep -o with-stream
如果没输出，说明缺失。需重新编译，加参数：
```
./configure --with-stream --with-stream_ssl_module
```

stream 块不能写在 http 内部

这是最常见错误。stream { ... } 是顶层块，和 http 并列，不是它的子项。正确结构示例：

# /etc/nginx/nginx.conf
events {
    worker_connections 1024;
}

stream {
    server {
        listen 8080;
        proxy_pass 192.168.1.100:8080;
        proxy_timeout 30s;
        proxy_responses 1;
    }

    server {
        listen 53 tcp;
        proxy_pass 10.0.2.5:53;
        proxy_timeout 5s;
    }
}