Nginx 反向代理外網訪問異常排查：本地正常但外網失效的典型配置錯誤

問題現象

• 本機訪問 Nginx 代理服務：完全正常
• 外網訪問同一服務：失敗/異常
• Nginx 配置看似無誤

核心排查思路

本地正常而外網異常，通常由 網絡層面 或 配置綁定差異 引起，而非 Nginx 核心邏輯錯誤。

常見原因與解決方案

1. 監聽地址綁定錯誤（最常見）

# 錯誤配置：僅綁定本地回環
server {
    listen 127.0.0.1:80;  # 只監聽本地，外網無法連接
    ...
}

# 正確配置：綁定所有介面或具體內網 IP
server {
    listen 80;                    # 監聽所有 IPv4 介面
    # 或 listen 0.0.0.0:80;
    # 或 listen 192.168.1.100:80; # 監聽特定內網 IP
    ...
}

2. 防火牆/安全組未放行端口

• 雲服務器：控制台安全組入站規則放行 80/443/自定義端口
• Linux 本地：`firewall-cmd --add-port=80/tcp --permanent && firewall-cmd --reload`
• Windows：防火牆入站規則新建端口規則

3. upstream 後端服務綁定問題

upstream backend {
    server 127.0.0.1:8080;  # 後端也只綁定本地，若 Nginx 在容器/不同主機會失效
    # server 192.168.1.100:8080; # 改為內網 IP
    # server backend-service:8080; # Docker 服務名
}

4. Host 頭傳遞缺失

proxy_set_header Host $host;              # 必須傳遞原始 Host
proxy_set_header X-Real-IP $remote_addr;  # 後端獲取真實客戶端 IP
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

部分後端應用（如 Tomcat、Spring Boot）依賴 Host 頭進行路由匹配，缺失會導致 404 或錯誤路由。

5. 端口衝突/進程未啟動

# 檢查端口佔用
netstat -tlnp | grep :80
ss -tlnp | grep :80

# 檢查 Nginx 進程
ps aux | grep nginx
nginx -t  # 配置測試

系統化排查步驟

1. 本機 curl 測試：`curl -v https://localhost/` 確認 Nginx 響應正常
2. 內網其他機器測試：`curl -v https://內網IP/` 排除防火牆問題
3. 外網測試：使用在線工具或手機 4G 訪問公網 IP/域名
4. 查看錯誤日誌：`tail -f /var/log/nginx/error.log`
5. 抓包分析：`tcpdump -i eth0 port 80 -w nginx.pcap` 用 Wireshark 分析握手過程

最佳實踐配置模板

server {
    listen 80;
    listen [::]:80;  # IPv6 支持
    server_name example.com www.example.com;
    
    # 安全頭
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;
    
    location / {
        proxy_pass https://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # 超時設置
        proxy_connect_timeout 30s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }
    
    # 靜態資源直接服務
    location /static/ {
        alias /var/www/static/;
        expires 30d;
    }
}

「本地正常外網異常」90% 是 綁定地址 或 防火牆/安全組 問題。建議養成「配置驗證三部曲」：語法檢查 → 本地測試 → 內網測試 → 外網測試。