Nginx高可用网关核心是分层可控、故障可退、流量可溯；接入层仅做TLS终结、全局路由与地域调度；中间层对接注册中心实现动态服务治理与灰度分流；后端层专注协议适配与熔断；各层均支持无感降级与跨机架部署。
明确三层职责，避免功能混杂
接入层（Global Ingress）只做三件事：TLS 终结、全局路由分发、地域/运营商调度。不处理业务逻辑，不参与服务发现。例如：
- 用 ssl_certificate 卸载 HTTPS，复用 SSL session 减少握手开销
- 按 Host 或 URI 前缀 路由：api.example.com → 中间层，assets.example.com → CDN
- 用 geo 模块识别客户端 IP 归属，将请求导向最近的中间层集群（如北京/广州）
中间层对接注册中心，实现动态服务治理
这一层是网关真正的“智能中枢”，必须脱离静态配置，具备实时感知后端变化的能力：
- 通过 nginx-upsync-module 或 OpenResty + Lua 主动拉取 Consul/Nacos 服务列表，upstream 变更无需 reload
- 支持多维路由策略：按 Header（X-Canary: true） 灰度、按 版本标签（v1/v2） 权重分流、按 路径前缀 匹配微服务
- 关键接口启用 limit_req（漏桶限流）和 mirror（流量镜像），保障稳定性与发布安全
后端层贴近应用，专注协议与熔断
部署在应用同可用区，负责最后一跳。它不追求通用，而要适配具体业务特征：
- 根据 X-Service-Name 或 path 规则，精准转发到 Pod IP+Port（配合 Headless Service 或 DNS SRV）
- 精细设置超时：proxy_read_timeout 3s 防止慢下游拖垮整条链路
- 对幂等查询或静态资源启用 proxy_cache，注意校验 Cache-Control 和 Vary 头
- 用 lua-resty-balancer 实现最小活跃连接数、响应时间加权等自定义策略
高可用不是靠堆机器，而是靠机制设计
单点失效不可怕，可怕的是连锁雪崩。必须让每一层都具备“无感降级”能力：
-
健康检查双模式：被动（
proxy_next_upstream error timeout http_502–504）保底线，主动（check interval=3000 rise=2 fall=3）提精度 - 跨机架部署：同一层 Nginx 实例分散在不同物理机架，避免单点电力/网络故障导致整层瘫痪
- 进程守护 + GitOps：用 systemd 或 supervisord 看护 Nginx 进程；所有配置走 Git 仓库，变更经 CI 流水线自动灰度发布
- 任意层故障时上层自动绕过：例如中间层全挂，接入层可直连后端层（需预置 fallback upstream）
