多数据中心高可用灾备需Nginx跨中心调度与自身高可用双层协同：通过upstream权重、健康探测、proxy_next_upstream实现后端容灾；用Keepalived+VIP保障Nginx实例不单点；结合DNS地域分流与本地优先+异地热备策略，并依赖Redis Cluster/JWT解耦会话状态。
要实现多数据中心的高可用灾备切换，不能只靠 Nginx 单点转发，而需分两层协同：一是 Nginx 自身作为反向代理对后端服务做跨中心容灾调度；二是 Nginx 实例自身必须高可用，避免它成为单点瓶颈。两者缺一不可。
用 upstream + 权重 + 健康感知调度后端多中心
在 nginx.conf 中定义多个 upstream，分别对应不同数据中心：
- 为北京集群设 upstream bj_backend，每台 server 加 weight=5 max_fails=3 fail_timeout=20s
- 为广州灾备集群设 upstream gz_backend，每台 weight=1（按实测 QPS 比例设定），同样配 max_fails 和 fail_timeout
- 关键要启用 proxy_next_upstream error timeout http_500-504，并设 proxy_next_upstream_tries 3，让 Nginx 在收到异常响应时立刻换节点，不是等连接断了才动
- 灾备中心可加 backup 标记，确保日常完全不参与流量，仅当所有非 backup 节点被标记为不可用时才启用
- 健康探测路径建议独立，如 /health?site=bj 和 /health?site=gz，绕过业务逻辑，只检查进程、端口和基础依赖
用 Keepalived + VIP 解决 Nginx 自身单点问题
Nginx 实例若挂掉，整个入口就断了。必须用 Keepalived 管理虚拟 IP（VIP）实现秒级接管：
- 主节点 keepalived.conf 中设 state MASTER priority 100，备节点设 state BACKUP priority 99
- 配置 vrrp_script 每 2 秒检测本地 Nginx 是否存活（如 curl -f http://127.0.0.1/healthz），失败则降权触发切换
- 启用 nopreempt 防止主恢复后立即抢回 VIP，造成抖动；用 advert_int 1 加快故障识别
- VIP 绑定后，Keepalived 主动发免费 ARP，强制交换机更新 MAC 表，确保流量 2–5 秒内完成切换
- 务必配置认证（auth_type PASS auth_pass xxx）和单播通信（防跨网段多播失效），避免脑裂
结合 DNS 或上层做粗粒度地域分流
Nginx 是应用层网关，无法决定用户首次请求该打到哪个数据中心的 Nginx。需与上层配合：
- DNS 层启用 GeoIP 解析：广东用户解析到深圳 Nginx 的 VIP，华北用户解析到北京 Nginx 的 VIP
- 各中心的 Nginx 实例只代理本区域流量，但都保留指向其他中心的备用 upstream（如北京 Nginx 配置里含 gz_backend），用于本地故障时兜底
- 避免全量互连：不是每个 Nginx 都直连所有后端，而是“本地优先 + 异地热备”，降低跨中心带宽压力与延迟
会话与状态一致性不能靠路由绑定
跨中心切换时，强绑定会导致登录态丢失或事务中断：
- 优先改造业务：会话存 Redis Cluster（跨中心部署）、身份凭证用 JWT，彻底解除对具体 Nginx 实例的依赖
- 若暂无法改造，可用 cookie-based sticky（需第三方模块），比 ip_hash 更可靠（避开 NAT 问题），且有效期设短（如 30 分钟）
- 绝对避免用 local disk 或内存缓存保存会话——这会让灾备切换失去意义
