反向代理和负载均衡是什么？

详细解析#

正向代理和反向代理#

反向代理的作用#

• 负载均衡：把请求分发到多台后端服务器
• TLS 终止：在代理上统一处理 HTTPS 和证书，代理到后端走内网 HTTP，后端不用各自配置证书
• 缓存与压缩：缓存静态资源或部分接口的响应，统一开启 gzip 压缩
• 隐藏后端、安全防护：后端不直接暴露在公网；可以在代理上做限流、IP 黑白名单、WAF
• 统一入口：同一个域名下按路径转发，比如 / 返回前端页面，/api/ 转发给后端服务。前端调用接口就是同源请求，不存在跨域问题（见跨域）

负载均衡算法#

四层和七层负载均衡#

Nginx 用 stream 模块也能做四层转发。大型系统常把两者组合起来：外层用四层负载均衡承接流量，内层用 Nginx 集群做七层路由。分层的概念见网络分层模型。

健康检查#

• 主动检查：定期探测后端（建立 TCP 连接，或者请求 /health 这类接口），连续失败若干次就摘除，恢复后再加回来
• 被动检查：根据真实请求的失败情况判断，比如 Nginx server 指令的 max_fails 和 fail_timeout 参数。Nginx 开源版要做主动检查，需要借助第三方模块或商业版 NGINX Plus

会话保持#

后端有多台服务器时，如果会话存在某一台的内存里，下一个请求落到别的机器上就找不到了。用 IP 哈希或粘性会话把同一个用户固定到同一台服务器，可以解决问题，但会导致负载不均，那台服务器故障时会话照样丢失。更好的做法是让服务无状态：会话存到 Redis 等共享存储里，或者改用 JWT（见 Cookie、Session、Token、JWT 的区别）。

获取真实的客户端 IP#

经过代理后，后端看到的连接来源是代理的 IP，代理要通过请求头传递客户端的地址：

• X-Forwarded-For：形如 X-Forwarded-For: 203.0.113.7, 10.0.0.2，最左边是客户端的地址；每经过一层代理，代理就把它看到的上一跳地址追加到末尾
• X-Real-IP：Nginx 常用的做法，只放一个地址，通常取自 $remote_addr

这些请求头客户端可以伪造，只能信任由自己的代理追加的值，见下面的追问。

代码示例#

Nginx 配置：

upstream api_servers {
  least_conn;                       # 最少连接；不写则默认是加权轮询
  # ip_hash;                        # 换成 IP 哈希：同一个客户端固定到同一台
  server 10.0.0.11:3000 weight=3;   # 权重越高，分到的请求越多
  # 被动健康检查：30 秒内失败 3 次，接下来 30 秒不再分配请求
  server 10.0.0.12:3000 weight=1 max_fails=3 fail_timeout=30s;
  keepalive 32;                     # 每个 worker 进程最多保留的空闲长连接数（1.29.7 起默认开启）
}

server {
  listen 443 ssl;
  server_name example.com;
  ssl_certificate     /etc/nginx/certs/example.com.pem;
  ssl_certificate_key /etc/nginx/certs/example.com.key;

  # 前端单页应用
  location / {
    root /var/www/app;
    try_files $uri $uri/ /index.html;
  }

  # 接口转发到后端集群，和页面同域，不存在跨域
  location /api/ {
    proxy_pass http://api_servers;  # 不带路径：/api/users 原样转发
    proxy_http_version 1.1;         # 这一行和下一行配合 keepalive 复用连接（1.29.7 起已是默认值）
    proxy_set_header Connection '';
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
  }
}

面试官可能追问#

易错点#

• 正向代理和反向代理的技术实现差不多，区别在于代表谁、对谁透明
• proxy_pass 的地址带不带路径，行为不同：写成 http://api_servers/ 时，/api/users 会被转发成 /users
• IP 哈希不保证均衡：大量用户在同一个 NAT 出口后面时，请求会集中到一台服务器上；Nginx 的 ip_hash 只用 IPv4 地址的前三段计算，同一个 /24 网段的用户都会落到同一台