Nginx 通过 proxy_bind 指定出口 IP 转发 WebSocket 请求需满足：1. 使用 1.15.5+ 版本（推荐 1.20+），Linux 内核支持 IP_TRANSPARENT；2. 在 location 或 upstream 中配置 proxy_bind，并同步设置 proxy_http_version 1.1、Upgrade 和 Connection 头；3. 确保 Nginx 以 root 运行、防火墙放行、路由正确。
要让 Nginx 通过 proxy_bind 指定特定出口 IP 转发 WebSocket 请求，关键在于：该指令必须作用于上游连接（即 Nginx 主动向外发起的 TCP 连接），且仅对支持的协议和系统生效；WebSocket 本身不改变底层 TCP 行为，所以配置方式与普通 HTTP 代理一致，但需确保整个链路（包括 Upgrade 协议切换）不被破坏。
确认系统和 Nginx 版本支持
proxy_bind 在 Linux 上要求内核支持 IP_TRANSPARENT 或至少能绑定非本机地址（取决于用法），且 Nginx 需为 1.15.5+。低于该版本可能忽略该指令或报错。建议使用 1.20+ 稳定版，并检查编译参数是否含 --with-stream（虽 HTTP 模块自带 proxy_bind，但 stream 模块用于更底层控制）。
在 upstream 或 location 中正确配置 proxy_bind
该指令可写在 upstream 块（影响所有 server）、location 块（影响当前路径），或直接在 proxy_pass 后用参数指定。常用写法：
- 固定出口 IP（推荐）：
location /ws/ {<br> proxy_pass http://backend;<br> proxy_bind 192.168.10.100;<br> # 其他 WebSocket 必需头<br> proxy_http_version 1.1;<br> proxy_set_header Upgrade $http_upgrade;<br> proxy_set_header Connection "upgrade";<br>} - 配合变量动态选择（如多 IP 主机）：
proxy_bind $remote_addr transparent;
（需 root 权限及内核支持） - 若 backend 是域名，Nginx 会先解析再 bind，因此出口 IP 仍生效；若 backend 是 IP，效果相同。
注意 WebSocket 协议升级与连接保持
proxy_bind 只影响初始 TCP 握手的源地址，不影响 HTTP 头或协议逻辑。但 WebSocket 依赖 Upgrade: websocket 和长连接，所以必须同步配置：
-
proxy_http_version 1.1—— 强制使用 HTTP/1.1，否则 Upgrade 失效 -
proxy_set_header Connection "upgrade"—— 显式透传升级意图 -
proxy_read_timeout 86400—— 避免空闲断连（可按需调整） - 不要设置
proxy_buffering on，避免缓冲中断流式数据
验证出口 IP 是否生效
后端服务可通过 request.remote_addr（或等效方式）查看来源 IP。若看到的是 Nginx 的默认出口 IP（如主网卡地址），说明 proxy_bind 未生效，常见原因有：
- Nginx 未以 root 运行（绑定非本机 IP 通常需要特权）
- 系统防火墙（如 firewalld、iptables）拦截了该 IP 的出向连接
- 路由表未配置对应 IP 的默认网关或策略路由（尤其是多网卡时）
- 后端服务运行在容器中，实际看到的是宿主机网络命名空间的地址，需检查容器网络模式
