proxy_bind需在location或upstream块中配置指定本机UP状态的IP（如203.0.113.50），仅控制Nginx主动连接后端的源地址；IPv6须加方括号；还需配合策略路由、rp_filter调优及ip_nonlocal_bind内核参数方可真正生效。
直接在 location 或 upstream 块里写 proxy_bind，指定本机已启用的 IP 地址即可。它不改请求内容，只控制 Nginx 主动连后端时用哪个本地地址发包。
确认并选用有效的本地 IP
运行 ip addr show，找状态为 UP 的网卡及其 IPv4 地址（比如 192.168.10.5 或 203.0.113.50）。这个 IP 必须真实配置在本机上：
- 物理网卡、虚拟网卡（如
eth0:1）、Docker 网桥（如docker0）上的 IP，只要显示 UP 就能用 - 别名接口或 secondary IP 同样有效，Nginx 只认 IP，不认网卡名
- IPv6 地址要加方括号，例如
proxy_bind [2001:db8::1];
基础配置位置与写法
proxy_bind 必须放在 location 或 upstream 块内，不能写在 http 全局块顶层：
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 单路径绑定：在
location中直接设置，适合固定业务走特定出口location /api/pay/ {<br> proxy_pass https://backend.example.com;<br> proxy_bind 203.0.113.50;<br>} - 统一出口管理：Nginx ≥ 1.19.10 可在
upstream块中设一次，所有节点共用upstream telecom_api {<br> proxy_bind 203.0.113.50;<br> server 172.16.10.20:443;<br>} - 每个后端节点不同出口：Nginx ≥ 1.17.6 支持在
server行后加参数upstream api_pool {<br> server backend-a:80 proxy_bind=192.168.10.5;<br> server backend-b:80 proxy_bind=192.168.10.6;<br>}
必须配合的系统级设置
仅写 proxy_bind 不保证数据真从该网卡发出，还需检查三项：
-
路由匹配：系统要有对应源 IP 的可达路由。多网卡常见做法是策略路由
ip rule add from 192.168.10.5 table 100<br>ip route add default via 192.168.10.1 dev eth0 table 100
-
反向路径校验（rp_filter）：若响应路径和请求路径不一致，可能被丢包。临时设为宽松模式：
sysctl -w net.ipv4.conf.eth0.rp_filter=2 -
权限与内核参数：绑定非主 IP 通常需 root 启动 Nginx；必要时开启
sysctl -w net.ipv4.ip_nonlocal_bind=1
验证是否真正生效
别只看配置有没有报错，要抓包或查后端日志确认源 IP：
- 在 Nginx 所在机器的目标网卡上抓包：
tcpdump -i eth0 host backend.example.com and port 443 -nn
观察 TCP SYN 包的源 IP 是否为你设定的地址 - 在后端服务日志中查看
remote_addr字段（注意中间若有 NAT 或 LB 可能覆盖） - 若返回 502 或超时，优先排查：IP 是否可达、防火墙是否放行该 IP 的出向流量、路由表是否完整
