Nginx的listen指令需显式写成IP:port形式（如192.168.1.10:80）以实现多IP多端口精确监听，遵循“具体IP优先”匹配规则，同一端口下不同IP由独立server块区分，SSL和HTTP/2等参数须与listen同块配置，低权限用户仅能监听≥1024端口。
Nginx 的 listen 指令不是简单“打开端口”，而是精确声明“由哪个 IP 地址、在哪个端口、以何种方式接收请求”。要实现多 IP 与多端口的精准监听，核心是把每个监听需求拆解为独立、明确的 server 块，并用 IP:port 格式显式绑定。
必须写成 IP:port 形式，避免模糊匹配
不写 IP 或只写端口（如 listen 80;），Nginx 默认等价于 listen *:80;，即监听所有 IPv4 地址，失去控制粒度。精准监听要求每条 listen 都带具体地址：
-
listen 192.168.1.10:80;→ 仅响应发往该内网 IP 的 HTTP 请求 -
listen 127.0.0.1:8000;→ 仅本地进程可访问，外部无法连接 -
listen [2001:db8::1]:443 ssl;→ IPv6 地址专属 HTTPS，方括号不可省略 -
listen 10.0.2.5:8080 http2;→ 绑定私有网段 + 启用 HTTP/2
同一端口下多个 IP，靠“具体优先”规则路由
当多个 server 块监听相同端口但不同 IP 时，Nginx 不按配置顺序匹配，而是依据目标 IP 的精确程度选择：
- 客户端请求目标是
192.168.1.10:80→ 匹配listen 192.168.1.10:80; - 目标是
192.168.1.11:80，而无对应块 → 落入listen *:80 default_server; - 不能对同一
IP:port多次设default_server，否则nginx -t报错
多端口共存需多个 server 块，不能靠 location 替代
80、8080、8443 等端口必须各自拥有独立 server { ... }，因为：
- 端口是网络层入口，
location是应用层路径分发，二者作用层级不同 - SSL 配置（
ssl_certificate）必须和listen ... ssl;在同一server块内，否则启动失败 - 每个新增端口都需系统防火墙放行（如
ufw allow 8080或firewall-cmd --add-port=8443/tcp） - 低权限用户无法监听 1–1023 端口（如 80、443），只能用 ≥1024 的端口（如 8080、8443）
加参数提升稳定性与性能
基础绑定之外，常用参数能解决实际问题：
-
reuseport：Linux 3.9+ 支持，让每个 worker 进程独占 socket，内核自动负载均衡连接 -
so_keepalive=30m::10：启用 TCP keepalive，30 分钟无数据时开始探测，最多发 10 次 -
backlog=1024：调高全连接队列长度，缓解高并发下的连接拒绝（默认通常为 511） -
deferred：收到 SYN+ACK 后再建立连接，减少无效 ESTABLISHED 状态
