轮询负载均衡需围绕可用性、公平性、可观测性、安全性四维度系统加固：一查语法合规（IP端口显式、禁混协议、禁用域名）；二强健康检查（max_fails、proxy_next_upstream、keepalive）；三保流量公平（环境一致、超时控制、日志分析）；四固安全边界（proxy_redirect、头信息隐藏、真实IP透传、请求体限制）。
轮询负载均衡看似简单，但配置疏漏容易引发单点失效、流量倾斜或安全暴露。全面审计和加固不是堆参数，而是围绕“可用性、公平性、可观测性、安全性”四个维度系统检查。
一、基础结构与语法合规性审计
重点核查 upstream 块是否符合 Nginx 语法规范且无隐式风险：
- 所有 server 指令必须显式指定 IP 和端口（如 192.168.1.10:8080），禁用无端口写法（192.168.1.10）——否则默认走 80，易与后端实际监听端口不一致
- 避免在 upstream 中混用不同协议后端（如 HTTP 和 HTTPS 服务共存于同一组），轮询不感知协议差异，可能触发 502 错误
- 禁止使用域名作为 server 地址（如 backend-app.local），DNS 解析发生在 Nginx 启动时，无法动态更新，故障恢复延迟高；应改用静态 IP 或配合 resolver + valid 配置（仅限必要场景）
- upstream 名称须为合法标识符（小写字母、数字、下划线），避免特殊字符或空格，防止 proxy_pass 引用失败
二、健康检查与故障隔离加固
轮询默认只做 TCP 层连通性探测，生产环境必须升级为应用层健康检查：
- 为每个 server 显式添加 max_fails=3 fail_timeout=30s，避免瞬时抖动导致误剔除
- 搭配 proxy_next_upstream error timeout http_500 http_502 http_503 http_504，让 Nginx 在后端返回特定错误码时主动重试另一节点
- 启用 keepalive 32（建议值 16–64）提升连接复用率，降低后端 TIME_WAIT 压力；同时在 location 中配置 proxy_http_version 1.1 和 proxy_set_header Connection ''
- 若需主动探活，可结合第三方模块（如 nginx_upstream_check_module）或通过 OpenResty + Lua 实现 HTTP HEAD 探针，避免依赖 Nginx Plus
三、流量分发公平性与稳定性校验
轮询本身不保证请求处理时间一致，需从机制上抑制“慢节点拖累”：
- 确认所有后端服务器运行相同版本服务、相同 JVM/PHP 配置、相同内核参数，消除因环境差异导致的响应时间偏差
- 设置 proxy_connect_timeout 1s、proxy_send_timeout 10s、proxy_read_timeout 10s，防止慢连接长期占位
- 在日志中启用 $upstream_addr 和 $upstream_response_time，通过日志分析各节点实际响应分布，识别持续超时节点
- 避免将 backup 服务器与主服务器混在同一 upstream 组中用于“轮询+兜底”，backup 仅在全部主节点失效时启用；如需灰度分流，请改用加权轮询或 split_clients
四、安全边界与最小权限加固
反向代理本质是信任边界的延伸，配置即攻击面：
- 禁用 proxy_redirect default，显式设置 proxy_redirect off 或精确重写规则，防止后端返回的 Location 头泄露内网路径
- 清除敏感头信息：proxy_hide_header X-Powered-By、proxy_hide_header Server、proxy_hide_header X-AspNet-Version
- 强制透传客户端真实信息：proxy_set_header X-Real-IP $remote_addr、proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for、proxy_set_header X-Forwarded-Proto $scheme
- 限制请求体大小：client_max_body_size 10m，防止大文件上传耗尽 Nginx 内存；对 API 路径可进一步细化（如 location /api/ { client_max_body_size 2m; }）
