Nginx 中 Upstream 如何配置 local 属性指定本地网卡进行连接

Nginx upstream中“指定本地网卡”实为通过proxy_bind绑定已启用的本地IP（如10.20.30.40），需IP真实存在、UP且路由可达；≥1.19.10可在upstream块顶层配置，低版本则在server行后加proxy_bind=IP，并须同步调整系统rp_filter与策略路由。

在 Nginx 的 upstream 中，“指定本地网卡进行连接”实际是通过 proxy_bind 指令实现的，它控制 Nginx 主动发起后端连接时使用的源 IP（即绑定到某张网卡已启用的 IP 地址），而不是直接指定网卡名（如 eth0）。Nginx 本身不支持写 local=eth0 这类语法，必须使用具体的、已配置且可达的本地 IPv4 地址。

确认你要绑定的本地 IP 已就绪

这个 IP 必须真实存在、处于 UP 状态，并能路由到达后端服务器：

1. 运行 ip addr show，找到目标网卡（比如 eth1）下标记为 UP 的 IPv4 地址，例如 10.20.30.40；
2. 支持虚拟接口（如 eth0:0）、Docker 网桥（docker0）或容器宿主机侧地址，只要状态是 UP 就可用；
3. 避免使用未配置、被禁用、仅用于内核通信的地址（如 127.0.0.1 或未分配的别名）。

在 upstream 块中统一绑定源 IP（推荐方式）

适用于所有后端共用一个出口 IP 的场景，结构清晰、维护方便：

1. Nginx 版本需 ≥ 1.19.10，否则不支持该写法；
2. 直接在 upstream 块顶层写 proxy_bind IP;；
3. 示例：

upstream api_cluster {proxy_bind 10.20.30.40;server 172.16.5.10:443;server 172.16.5.11:443;}

这样所有发往这两个后端的连接，源地址都会固定为 10.20.30.40。

为不同后端指定不同源 IP（灵活适配多线路）

当需要让不同后端走不同物理链路或对应不同白名单 IP 时使用：

1. 兼容性更好，Nginx ≥ 1.17.6 即可；
2. 语法是每个 server 行末尾加 proxy_bind=IP；
3. 示例：

upstream multi_line {server backend-a.example.com:443 proxy_bind=10.20.30.40;server backend-b.example.com:443 proxy_bind=10.20.30.41;}

注意：此时每个 IP 需确保系统已配置相应策略路由与 rp_filter 调整，否则可能因反向路径过滤导致连接失败。

配套系统层面检查不能少

仅配置 Nginx 不够，还需验证并调整操作系统层面设置：

1. 确认该 IP 所属网卡已启用：ip link show eth1 输出含 state UP；
2. 检查路由表是否支持该 IP 出向：ip route get 172.16.5.10 from 10.20.30.40 应返回有效路径；
3. 若启用严格反向路径校验（rp_filter=1），需临时设为宽松模式：sysctl -w net.ipv4.conf.eth1.rp_filter=2；
4. 如需持久化，写入 /etc/sysctl.conf 并执行 sysctl -p。