Nginx TCP动态DNS解析必须显式配置resolver指令于stream或http块中，配合变量（如set $backend "api.example.com:8080"; proxy_pass $backend;）触发运行时解析，valid参数控制缓存时效，否则仅启动时静态解析导致IP变更后连接失败。
直接在 proxy_pass 中写死域名（如 proxy_pass tcp://api.example.com:8080;）会导致 Nginx 仅在启动时解析一次 IP，后续后端 IP 变更（如容器漂移、云主机迁移、DDNS 更新）就无法自动生效，引发连接失败或 502 错误。真正实现 TCP 层动态 DNS 解析，关键在于 resolver 指令的正确配置与使用方式——它不是可选项，而是必须显式声明的运行时解析入口。
resolver 必须全局显式配置，且不能依赖系统 DNS
Nginx 不读取 /etc/resolv.conf，也不继承操作系统 DNS 设置。若未在 http 或 server 块中明确定义 resolver，即使写了变量代理，DNS 查询也会静默失败。
- 推荐放在
http块顶层，对所有 location 和 upstream 生效 - 至少配置两个可靠 DNS 地址，避免单点故障，例如：
resolver 8.8.8.8 114.114.114.114 valid=30s; -
valid=30s是核心参数：表示 DNS 缓存最多保留 30 秒，超时后强制发起新查询，实现“按需刷新” - 建议追加
resolver_timeout 5s;防止 DNS 响应延迟拖慢整个请求
TCP 代理必须用变量触发运行时解析
开源 Nginx 的 stream 模块（处理 TCP/UDP 代理）不支持直接在 proxy_pass 中写域名并自动刷新。必须通过变量间接引用，才能激活 resolver 的动态行为。
- 在
stream块中定义upstream无效——它的域名仍是静态解析 - 正确做法是用
set（需启用stream_set_module）或更稳妥地，在stream的server块中使用变量：
stream {<br> resolver 8.8.8.8 114.114.114.114 valid=30s;<br> server {<br> listen 8080;<br> set $backend "api.example.com:8080";<br> proxy_pass $backend;<br> }<br>}
- 注意：
set指令在stream上下文中需确认 Nginx 版本支持（≥1.19.5），否则可用map替代 - 务必确保
$backend是完整地址（含端口），否则会默认补 80，导致转发失败
验证是否真正动态生效
仅 reload 配置不等于成功。必须观察运行时行为：
- 检查 Nginx 错误日志：
tail -f /var/log/nginx/error.log，正常会出现类似resolving "api.example.com"或resolved api.example.com to 192.168.10.5的记录 - 主动变更目标域名的 DNS A 记录（比如指向一个测试 IP），等待超过
valid时间（如 30 秒后），再发新连接，用ss -tnp | grep :8080查看 worker 进程实际连接的目标 IP 是否已更新 - 若仍连旧 IP，大概率是没用变量、
resolver位置错误，或stream模块未加载set支持
应对 DNS 不可用的容错设计
生产环境 DNS 服务可能短暂不可达，导致连接卡住或失败。可叠加以下防护：
- 添加
ipv6=off参数（如无 IPv6 网络）：resolver 8.8.8.8 ipv6=off valid=30s;，避免因 AAAA 查询超时拖慢响应 - 在
proxy_pass后加proxy_timeout 10s;，限制单次连接等待 DNS 结果的上限 - 若后端有多个实例，可配合健康检查模块（如 Tengine 的
check）自动剔除失联节点
