Nginx 通过 stream 模块实现 MQTT 四层 TCP 透传代理，支持负载均衡、TLS 终止与访问控制，但不解析 MQTT 协议；需版本 ≥1.9.0、启用 --with-stream、配置在 http 块外，监听 1883/8883 端口并设长超时适配心跳。
Nginx 本身不原生支持 MQTT 应用层协议解析，但它可以通过 stream 模块 对 TCP 连接进行四层代理，从而实现对 MQTT（基于 TCP 的 1883 端口）的负载均衡。这对物联网场景特别实用——成千上万终端只需连接一个统一入口（如 mqtt.example.com:1883），由 Nginx 分发到后端多个 EMQX、Mosquitto 或自研 MQTT 服务器节点，既简化客户端配置，又提升系统伸缩性与容错能力。
确认 Nginx 支持 stream 模块
MQTT 是纯 TCP 协议，必须使用 Nginx 的 stream 上下文（非 http），因此需确保：
- Nginx 版本 ≥ 1.9.0（推荐 1.20+ 或最新稳定版）
- 编译时已启用
--with-stream模块（主流发行版包如 Ubuntu/Debian 的nginx-full、CentOS 的nginx-mod-stream通常默认包含） - 验证命令：
nginx -V 2>&1 | grep -o with-stream，有输出即支持
配置 stream 块实现 MQTT 负载均衡
在 /etc/nginx/nginx.conf 的 http 块之外、全局层级 添加如下配置（不能嵌套在 http{} 内）：
stream {
upstream mqtt_backend {
# 支持健康检查（需 nginx-plus）或基础故障转移
server 192.168.10.11:1883 weight=3 max_fails=3 fail_timeout=30s;
server 192.168.10.12:1883 weight=2 max_fails=3 fail_timeout=30s;
server 192.168.10.13:1883 backup; # 仅当其他全宕时启用
}
<pre class="brush:php;toolbar:false;">server {
listen 1883 so_keepalive=on;
proxy_pass mqtt_backend;
proxy_timeout 1h; # MQTT 长连接需足够长超时
proxy_responses 1; # TCP 代理只做透传，不解析响应
tcp_nodelay on; # 减少小包延迟，适合 IoT 心跳
}}
关键点说明：
-
so_keepalive=on启用 TCP keepalive，防止中间网络设备断连 -
proxy_timeout建议设为 30m–1h，匹配 MQTT 客户端 keep-alive 时间（如 60 秒心跳，则超时至少设为 5–10 分钟） - 权重（
weight）可按节点 CPU/内存资源差异化分配流量 - 若需会话粘性（如某些 QoS1/2 场景依赖单节点处理），可加
hash $remote_addr consistent;（注意：MQTT 协议本身无会话 ID 透传，IP 哈希是常用折中）
SSL/TLS 终结与 WSS 支持（可选但推荐）
物联网终端若走 TLS（端口 8883）或 WebSocket over TLS（WSS，端口 443），Nginx 可统一终结加密：
- 对 TCP 层 TLS（即标准 MQTT over SSL）：仍用 stream 模块，但需在
server块中添加ssl_certificate和ssl_certificate_key，并开启ssl_protocols - 对 WebSocket（MQTT over WS/WSS）：改用 http 模块 +
upgrade头透传，此时需配置location /mqtt并设置proxy_set_header Upgrade $http_upgrade等，适用于浏览器或小程序等受限环境 - 证书统一由 Nginx 管理，后端 MQTT 服务可跑在内网明文端口，降低集群加解密开销
监控与运维要点
上线后建议配置基础可观测性：
- 启用 Nginx stream 状态模块（需编译时加
--with-stream_ssl_preread_module），通过status_zone+ 自定义 HTTP 接口暴露连接数 - 定期用
ss -tnp | grep :1883查看 ESTABLISHED 连接分布 - EMQX 等集群自身提供
/status或 Dashboard，结合 Nginx 连接数交叉验证负载是否均衡 - 避免单点瓶颈：Nginx 实例本身也应部署多台 + Keepalived/VIP 或云 LB 做前置高可用
不复杂但容易忽略：MQTT 连接建立后极少主动断开，Nginx 的连接复用和超时设置比 HTTP 更关键；同时务必关闭后端 MQTT 服务对外暴露的原始地址，只允许通过 Nginx 入口接入，才能真正实现流量可控与安全收敛。
