Nginx实现后端故障转移需配置被动健康检查：在upstream中设max_fails和fail_timeout，location中启用proxy_next_upstream；添加backup节点兜底；按业务调优参数；并验证日志、状态页及探针。
要在 Nginx 中实现后端节点的故障转移与自动剔除，关键不是“等它挂了再处理”，而是提前建立感知、判定、隔离、重试、恢复这一整套闭环机制。默认轮询不带健康检查，必须显式配置才能让 Nginx 主动跳过异常节点。
配置被动健康检查（开箱即用）
这是最基础也最关键的一步，无需编译扩展，依赖真实请求触发判断，但必须三项参数协同生效：
- 在 upstream 块中为每个 server 显式设置 max_fails 和 fail_timeout，例如：
server 10.0.1.10:8080 max_fails=3 fail_timeout=30s; - 在 location 块中启用重试逻辑：
proxy_next_upstream error timeout http_500 http_502 http_503 http_504; - 被标记为 down 的节点不会持续探测，而是在下一次新请求到来时尝试一次——成功则恢复，失败继续隔离
添加 backup 备用节点兜底
当所有主节点连续失败达到阈值，流量可能全部中断。加一个 backup 节点可避免服务雪崩：
- 在 upstream 中添加带 backup 标志的 server，如：
server 10.0.1.99:8080 backup max_fails=2 fail_timeout=20s; - backup 节点默认不参与轮询，仅当其他 server 全部被标记为 down 时才启用
- 它同样支持 max_fails/fail_timeout，防止自身成为新的单点故障
按业务特征调优容错参数
一套参数不能覆盖所有场景，抖动容忍和响应速度需权衡：
- 常规 Web 接口（如用户中心）：
max_fails=3 fail_timeout=30s，兼顾稳定性与恢复及时性 - 高 QPS 网关：
max_fails=15 fail_timeout=10s，放宽失败次数，缩短统计窗口防误判 - 慢操作服务（如导出、上传）：
max_fails=2 fail_timeout=60s，避免长耗时被当作故障 - 支付回调等关键链路：
max_fails=1 fail_timeout=10s，首次失败即隔离，不重试
验证配置是否真正生效
别只看配置语法正确，要动手验证行为是否符合预期：
- 手动停掉一台后端服务，观察 Nginx error log 是否出现 upstream failed，并确认后续请求不再打过去
- 重启该服务后，用
curl -I http://your-nginx-ip/status（若配了 check_status）查看状态是否变回 up - 用
curl -v --connect-timeout 1 http://backend-ip:port/health单独测试探针可达性，排除网络或防火墙干扰
