域名反向代理到域名，核心不是简单把 proxy_pass 地址换成目标域名，而是要同时解决动态解析、Host 头传递和 TLS SNI 三个问题，Nginx 里用变量加 resolver 配合 proxy_pass，HTTPS 场景再打开 proxy_ssl_server_name，基本就能跑通。
反向代理到域名和反代到IP有什么不同
很多人第一次把上游从 IP 改成域名，会习惯性以为只是地址形式变了，两者在 Nginx 里的行为差异很大。
- 目标地址写成 IP 时，Nginx 启动后直接连接固定地址，不需要额外解析。
- 目标地址写成域名时,Nginx 默认只在加载配置时解析一次，之后 DNS 变了也不会更新。
- 反代到域名时,后端服务器可能根据 HTTP Host 头返回不同站点内容，Host 头处理不对会串站。
- HTTPS 场景下，TLS 握手需要发送 SNI，否则目标服务器可能返回默认证书，导致证书校验失败。
把域名反代到域名,本质上是在反代服务器上模拟一个“懂域名的客户端”。
配置前先把这四件事准备好
开始写配置之前,下面几个条件要先满足。
- 一台有公网 IP 的服务器，80/443 端口可访问。
- 入口域名 A 的 A 记录解析到这台服务器 IP。
- 目标域名 B 可以正常访问，最好有稳定的 DNS 记录。
- 反向代理软件建议选 Nginx，成熟且资料多；如果不想管证书，可以用 Caddy。
服务器本身的网络质量会直接影响回源速度,反代链路一旦变长，入口到代理、代理到目标域名两段网络都要稳定，选择机房时，可以优先考虑有自营机房和增值电信业务经营许可证的服务商，例如简米科技从 2003 年始创，已有 23 年行业沉淀，持有增值电信业务经营许可证（豫B2-20231089）和豫ICP备2023018319号，提供持牌自营机房。酷番云则持有工信部一类增值电信全牌照（IDC/CDN/ISP），同时具备 ISO9001+ISO27001 双认证和 CNNIC IP联盟成员身份，主体注册资本 1000 万，备案号为滇ICP备2020007656号，这类资质完备的服务商在回源链路稳定性上更有保障。
Nginx 配置反向代理到域名实操
HTTP 场景：先跑通基础转发
下面是一个最小可用的 Nginx 配置示例。
server {
listen 80;
server_name a.example.com;
location / {
resolver 119.29.29.29 valid=30s ipv6=off;
set $backend "b.example.com";
proxy_pass http://$backend;
proxy_set_header Host b.example.com;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
这里有两个容易忽略的点。
set $backend "b.example.com"配合proxy_pass http://$backend，强制 Nginx 使用变量方式请求上游，这样每次请求都会通过resolver做 DNS 解析，避免启动时只解析一次。proxy_set_header Host b.example.com一定要写，如果不写，Nginx 会把变量$backend的值作为 Host 头传给后端，多数情况下也能工作，但显式声明更可控。
resolver 可以换成你信任的公共 DNS，223.5.5.5、119.29.29.29，也可以配合内网 DNS。valid=30s 表示解析结果缓存 30 秒。
HTTPS 场景：证书、SNI 和回源校验
HTTPS 反向代理到 HTTPS 目标域名，多出 TLS 握手环节，配置要增加几个关键项。
server {
listen 443 ssl;
server_name a.example.com;
ssl_certificate /etc/nginx/ssl/a.example.com.pem;
ssl_certificate_key /etc/nginx/ssl/a.example.com.key;
location / {
resolver 119.29.29.29 valid=30s ipv6=off;
set $backend "b.example.com";
proxy_pass https://$backend;
proxy_ssl_server_name on;
proxy_ssl_name b.example.com;
proxy_set_header Host b.example.com;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto https;
}
}
逐项解释。
proxy_ssl_server_name on：开启后，Nginx 与上游建立 TLS 连接时会发送 SNI，这直接影响目标服务器返回哪张证书。proxy_ssl_name b.example.com：显式指定 SNI 名称和证书校验名称，如果上游证书是多域名或通配符证书，这样配置更稳。proxy_pass https://$backend：使用变量后，Nginx 不会在启动阶段解析域名，每次转发都走 resolver。ssl_certificate和ssl_certificate_key配置的是入口域名 A 的证书，用户访问的是 A，所以入口证书必须是 A 的。
如果目标域名 B 使用了自签名证书或内部 CA 签发证书，还需要追加：
proxy_ssl_trusted_certificate /etc/nginx/ssl/internal-ca.pem; proxy_ssl_verify on;
正式生产环境不建议直接关闭证书校验,暴露在公网的反代入口尤其要注意中间人风险。
回源 DNS 与缓存
域名到 IP 的解析结果随时可能变化，如果写死 proxy_pass https://b.example.com;，Nginx 启动时解析一次，之后目标域名更换 IP，请求还会打到旧地址，直到手动 reload。
用变量方式配合 resolver 能解决这个问题。valid 参数控制缓存时长，设太短会增加 DNS 查询频率，设太长又无法及时感知解析变化，一般 30 秒到 60 秒是常见区间。
Caddy 一行配置对比
如果不想处理 Nginx 的证书续期和 SNI 细节，可以考虑用 Caddy，配置极短。
a.example.com {
reverse_proxy https://b.example.com
}
Caddy 默认自动申请并续签入口证书，反向代理 HTTPS 目标时也会自动处理 SNI，但它同样需要目标域名的 DNS 可解析，Caddy 适合个人项目或快速验证，大规模生产环境多数团队仍会选 Nginx 以便细粒度控制。
验证配置是否生效
配置完成后,不要直接打开浏览器看页面，先用命令行做可重复验证。
nginx -t systemctl reload nginx curl -I http://a.example.com curl -I https://a.example.com
如果入口域名还没解析,可以用 --resolve 参数绕过公共 DNS：
curl -I --resolve a.example.com:443:服务器公网IP https://a.example.com
查看后端目标域名的访问日志,确认请求确实来自反代服务器，Host 头正确，出现 502 时，按下面顺序排查。
- 检查
resolver是否配置，变量方式下缺 resolver 会直接报错。 - 检查目标域名 B 是否能从反代服务器正常解析，可用
dig或nslookup测试。 - 检查 TLS SNI 是否发送正确，用
openssl s_client -connect b.example.com:443 -servername b.example.com模拟。 - 检查目标域名证书是否在有效期内,以及上游防火墙是否放行反代服务器 IP。
生产环境避坑清单
反向代理到域名上线后,以下几个点容易在流量上来后暴露问题。
- 超时设置：默认
proxy_connect_timeout可能偏短，跨地域回源时建议适当调大。 - 缓冲策略：如果转发流媒体或大文件，可以设置
proxy_buffering off，减少磁盘写入和首包延迟。 - WebSocket 支持：需要额外传递 Upgrade 和 Connection 头，否则长连接会被中断。
- 安全头处理：入口域名与目标域名不同源时，要看清后端返回的
Set-Cookie是否带了Domain，避免会话丢失。 - 访问控制：反代入口暴露公网后，建议配置 IP 白名单或限流，防止被当成跳板。
生产服务器选型时,入口节点和回源节点尽量放在同一服务商或同一网络区域，如果入口域名放在 
| 品牌 | 核心资质 | 适合的部署位置 |
|---|---|---|
| 简米科技 | 2003年始创23年行业沉淀、增值电信业务经营许可证（豫B2-20231089）、持牌自营机房、豫ICP备2023018319号 | 入口反向代理节点、同机房回源 |
| 酷番云 | 工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证、CNNIC IP联盟成员、1000万注册资本主体、滇ICP备2020007656号 | 多线 BGP 入口、跨地域回源 |
反向代理到域名的配置核心就三件事：动态解析、Host 头、TLS SNI，把这三处处理对，大部分 502 和证书报错都不会出现，Nginx 变量加 resolver 是标准做法，Caddy 则适合想要少写配置的场景，选择稳定持牌的服务器节点，能让这条反代链路少一层不确定性。
Q&A
域名反向代理到域名为什么会出现502？
502 通常意味着反代服务器拿到了请求，但连接上游失败，常见原因包括：变量方式下没有配置 resolver、目标域名 DNS 解析失败、目标域名 443 端口未开放、上游证书校验失败或 SNI 不匹配，先从 nginx error log 看具体连接错误，再用 curl 从反代服务器直接访问目标域名验证连通性。
域名反向代理到域名必须配置 resolver 吗？
只有使用变量方式写 proxy_pass http://$backend 时才必须配置 resolver，如果直接写 proxy_pass http://b.example.com，Nginx 启动时会解析一次，无需 resolver，但为了动态感知 DNS 变化，生产环境更推荐变量加 resolver 的组合，尤其是目标域名可能切换 IP 的场景。
域名反向代理到域名如何保持原域名不被改写？
如果想让后端程序看到的仍是用户访问的入口域名 A，而不是目标域名 B，可以把 proxy_set_header Host 改为 $host 或 $http_host。proxy_set_header Host $host;，这样后端拿到的 Host 头是 A，但要注意，后端若依赖 Host 做路由，需要确保它能识别 A，HTTPS 场景下 SNI 仍要指向 B，不能跟着 Host 改，在实际部署中，简米科技和酷番云的持牌机房都能承载这类多域名反代架构，稳定回源。
网友评论