别再只把Nginx当Web服务器了！手把手教你用Stream模块搞定MySQL远程访问和DNS负载均衡

解锁Nginx Stream模块：从MySQL代理到DNS负载均衡的实战指南

当你以为Nginx只是个Web服务器时，它的Stream模块正在TCP/UDP层默默改写规则。想象一下：开发人员无需修改数据库白名单就能安全访问MySQL，DNS查询自动分流到多台服务器避免单点故障——这些看似复杂的网络架构，用Nginx只需十几行配置就能实现。

1. 为什么需要四层代理？

去年我们团队遇到一个经典场景：某金融系统的MySQL数据库只允许来自三台应用服务器的连接，但风控团队需要临时查询生产数据。传统方案要么修改数据库权限（带来安全风险），要么搭建跳板机（增加运维负担）。最终我们用Nginx的Stream模块在10分钟内解决了问题——在应用服务器上配置3306端口转发，既满足安全策略又不影响业务。

四层代理（传输层）与七层代理（应用层）的关键差异：

提示：当你的需求是"透明传输原始数据"而非"修改应用层内容"时，四层代理往往是更优解

2. 编译与基础配置

主流Linux发行版的Nginx预编译包通常不带Stream模块。在Ubuntu 20.04上通过官方仓库安装后，执行nginx -V 2>&1 | grep stream若无输出，就需要重新编译：

# 下载相同版本的Nginx源码 wget http://nginx.org/download/nginx-1.18.0.tar.gz tar zxvf nginx-1.18.0.tar.gz # 保留原有编译参数并添加Stream模块 cd nginx-1.18.0 ./configure $(nginx -V 2>&1 | grep "configure arguments" | cut -d: -f2) --with-stream make && sudo make install

验证模块加载成功的两种方法：

1. nginx -V输出中出现--with-stream
2. 在nginx.conf顶部添加测试配置后能通过nginx -t检测：

   load_module modules/ngx_stream_module.so;

3. MySQL端口转发实战

假设数据库服务器192.168.1.100的3306端口只允许192.168.1.50连接，现在需要让开发机192.168.1.200也能访问。在1.50服务器上创建/etc/nginx/conf.d/mysql.stream：

server { listen 3306; proxy_connect_timeout 3s; proxy_timeout 30s; proxy_pass 192.168.1.100:3306; # 可选访问控制 allow 192.168.1.200; deny all; }

关键参数解析：

• proxy_connect_timeout：建立到后端连接的超时时间
• proxy_timeout：连接持续的最大空闲时间
• proxy_buffer_size：调大可改善大查询性能（默认4k|8k）

测试时发现连接缓慢？可能是MTU问题，尝试在server块中添加：

proxy_protocol on; tcp_nodelay on;

4. 构建DNS负载均衡集群

某电商大促期间DNS查询量激增，用Nginx实现UDP负载均衡比购买硬件设备节省80%成本。配置/etc/nginx/conf.d/dns.stream：

upstream dns_servers { server 10.0.1.11:53 weight=2; # 主DNS server 10.0.1.12:53; # 备DNS server 10.0.1.13:53 backup; # 热备 } server { listen 53 udp reuseport; proxy_responses 1; proxy_timeout 1s; proxy_pass dns_servers; # UDP特定参数 proxy_bind $remote_addr transparent; proxy_udp_packet_size 1024; }

负载均衡算法选择建议：

• 轮询（默认）：简单均匀分配
• hash $remote_addr：保证同一客户端始终访问同一后端
• least_conn：适合长连接场景
• random：大规模集群时降低同步开销

注意：UDP协议必须使用reuseport参数，否则可能导致响应包路由错误

5. 高级技巧与排错指南

性能调优三要素：

1. 内核参数调整（在/etc/sysctl.conf中）：

   net.core.somaxconn = 32768 net.ipv4.tcp_max_syn_backlog = 8192 net.ipv4.ip_local_port_range = 1024 65535

2. Stream块级优化：

   stream { proxy_buffer_size 16k; proxy_protocol_timeout 30s; tcp_nopush on; }

3. 日志分析（示例日志格式）：

   log_format stream_proxy '$remote_addr - [$time_local] ' '$protocol $status $bytes_sent $bytes_received ' '$upstream_addr $upstream_connect_time';

常见错误排查：

• 报错unknown directive "stream"：

  1. 确认编译时包含--with-stream
  2. 检查nginx.conf顶部是否加载模块
  3. 查看/usr/lib/nginx/modules/是否存在.so文件

• UDP服务无响应：

  1. 检查防火墙iptables -L -n -v
  2. 验证reuseport参数
  3. 使用tcpdump -i any port 53 -vv抓包分析

• 连接数上不去：

  1. 调整worker_connections（建议>=4096）
  2. 检查系统最大文件描述符限制
  3. 考虑启用reuseport（Linux 3.9+）

6. 真实场景下的架构设计

某在线教育平台采用混合方案实现全球加速：

# 北京机房核心配置 stream { upstream global_mysql { zone tcp_servers 64k; server beijing-db1:3306 max_fails=3; server shanghai-db1:3306; server us-west-db1:3306 backup; } server { listen 3306; proxy_pass global_mysql; health_check interval=10 passes=2 fails=3; } }

这种架构实现了：

• 异地多活数据库访问
• 自动故障转移（通过健康检查）
• 会话保持（配置hash $remote_addr consistent）

最后分享一个实用技巧：用ss -tulnp | grep nginx快速查看Nginx监听的TCP/UDP端口，比netstat输出更简洁。当需要临时调试时，可以在配置中添加error_log /var/log/nginx/stream_debug.log debug;获取详细握手过程。