跨地域容灾需三层协同：Nginx本地兜底、无状态后端+最终一致、DNS/Anycast机房级隔离；本地层用权重+健康检查动态调度，路由层按用户/地域智能分流，全局层靠GSLB或Anycast实现分钟级故障屏蔽。
靠简单轮询或静态备份无法撑住跨地域容灾，真正落地要分三层协同：Nginx 做好本地流量兜底与快速切换，后端服务保持无状态和数据最终一致，上层再叠加 DNS 或 Anycast 实现机房级故障隔离。
本地入口层：权重+健康检查动态调度
每个地域部署一套 Nginx 集群（如用 Keepalived + VIP 或云 SLB 暴露统一入口），在 upstream 中明确区分本地与异地节点：
- 本地服务设高权重（如 weight=10），异地服务设低权重（如 weight=2），避免日常就压垮远端链路
- 必须启用主动健康检查：max_fails=3 fail_timeout=20s 配合 proxy_next_upstream error timeout http_502，10 秒内识别并剔除异常节点
- 异地探测路径建议独立（如 /health?site=shanghai），不与主业务共用接口，防止误判
路由增强层：按用户/地域做智能分流
对延迟敏感或需读写分离的业务，可在 Nginx 接入层加轻量级决策逻辑：
- 用 map 提取请求头中的 X-User-ID 或 Cookie，结合 hash $arg_uid consistent 绑定用户到固定地域上游组
- 对写请求（如 POST /api/submit）强制路由至主写机房；读请求（如 GET /api/list）允许 fallback 到异地，降低首屏延迟
- 配合 geo 指令识别用户 IP 属地，优先调度至同大区节点（如北京用户 → backend_bj），全挂时自动降级到全局 backup 组
全局协同层：DNS/Anycast 承担机房级兜底
Nginx 自身看不到跨城网络中断或整个机房雪崩，必须依赖更上层系统：
- 各机房 Nginx 集群对外提供相同域名，由云厂商 GSLB（如阿里云云解析、AWS Route 53）定时探测各入口健康状态，自动屏蔽异常机房的 DNS 解析
- DNS TTL 设为 60 秒以内，确保分钟级生效；若用 Anycast，需验证 BGP 路由收敛性，避免黑洞或回环
- 极端情况下（如 Nginx 进程全挂），GSLB 是最后一道防线，它不依赖 Nginx 状态，只看 VIP 可达性
配置写完只是开始，上线前务必用真实压测验证：curl 查看 stub_status 中各 upstream 的 requests 分布比例；手动停掉一个机房的服务，确认流量在 10 秒内完成切换；日志中追踪 X-Data-Region 头，确认路由路径符合预期。不复杂但容易忽略。
