Apache 作为反向代理转发云原生应用，核心是启用 mod_proxy 和 mod_proxy_http 模块，通过 ProxyPass/ProxyPassReverse 实现路径路由、TLS 终止、WebSocket 支持（需 mod_proxy_wstunnel）、DNS 动态解析及真实客户端 IP 透传。
Apache 作为反向代理转发云原生应用，核心是让外部请求经 Apache 统一入口，再按规则路由到后端服务（如 Kubernetes 中的 Service、Pod 或独立容器服务），同时处理 TLS 终止、路径重写、健康检查等关键环节。
配置 ProxyPass 实现基础路由转发
云原生应用通常通过 ClusterIP 或 Ingress 暴露服务，Apache 需将请求代理至其可访问的 endpoint（如 NodePort、LoadBalancer IP，或集群内 DNS 名称）。关键点在于：
- 启用 mod_proxy 和 mod_proxy_http 模块（必要）
- 使用 ProxyPass 和 ProxyPassReverse 确保请求转发与响应头重写一致
- 若后端是 HTTPS 服务，需显式启用 SSLProxyEngine on 并处理证书信任（如设置 SSLProxyVerify none 仅用于测试）
示例（转发到 Kubernetes 内部服务）：
<VirtualHost *:80><br> ServerName app.example.com<br> ProxyPreserveHost On<br> ProxyPass / http://my-app-service.default.svc.cluster.local:8080/<br> ProxyPassReverse / http://my-app-service.default.svc.cluster.local:8080/<br></VirtualHost>
支持多租户与路径级路由
一个 Apache 实例常需代理多个云原生应用（如 /api/v1 → auth-service，/dashboard → frontend）。推荐用路径前缀做路由，避免 Host 冲突：
- 每个 Location 块定义独立转发规则，配合 ProxyPassMatch 支持正则匹配
- 注意路径结尾斜杠：ProxyPass /v1/ http://svc1/ 表示“/v1/xxx” → “http://svc1/xxx”，而 ProxyPass /v1 http://svc1/ 会错误拼接为 “http://svc1/v1xxx”
- 对 WebSocket 流量，必须加载 mod_proxy_wstunnel 并用 ProxyPass ws://... 显式声明
集成 TLS 终止与证书管理
生产环境建议在 Apache 层终止 HTTPS，减轻后端负担并统一证书管理：
- 使用 SSLEngine on + SSLCertificateFile 等指令配置证书（支持 Let’s Encrypt 的 fullchain.pem + privkey.pem）
- 添加 Header set X-Forwarded-Proto "https" 和 RequestHeader set X-Forwarded-Proto "https"，确保后端能正确识别协议
- 若后端服务强制 HTTPS 重定向，需在 ProxyPassReverse 中修正 Location 头，或关闭后端的重定向逻辑
增强可用性与可观测性
云原生环境动态性强，Apache 需适配服务发现与故障恢复：
- 不硬编码后端 IP，改用 DNS 名称（如 Kubernetes headless service 或 CoreDNS 解析），并设置 ProxyBadErrorOverride off 让错误透出
- 启用 ProxyStatus on 并配合 mod_status 查看代理连接状态；结合 mod_rewrite 做简单健康检查（如拦截 /health 返回 503）
- 记录真实客户端 IP：RemoteIPHeader X-Forwarded-For + RemoteIPInternalProxy（配合云厂商 LB 私网段）
