In this Article
nginx 正向代理是经过配置的 nginx 服务器，用于将客户端的出站请求转发到外部目标。它代表客户端，而非源服务器发起请求。本教程将逐步讲解如何搭建一个同时适用于 HTTP 和 HTTPS 的可用 nginx 正向代理，用 curl 进行测试，添加访问控制，并在单个服务器 IP 不够用时将其链接到 residential 代理池。
读完之后，你将得到一份可运行的 nginx 正向代理配置，并清楚了解仅使用 nginx 在哪些场景下并不合适。
DataImpulse 是一家注重合规的代理服务商，在 195 个国家提供超过 9000 万个住宅、移动和数据中心 IP 地址。其服务按量付费，每 GB 1 美元起，流量永不过期，适用于网页采集、广告核验、价格监控、市场调研和多账号管理。
关键事实
- nginx 正向代理： 标准 nginx 可通过包含 proxy_pass 的 server 块转发普通 HTTP，但要通过 CONNECT 方法为 HTTPS 建立隧道，则需要编译进第三方模块 ngx_http_proxy_connect_module。
- 最佳代理类型： 轮换住宅代理，使用更不易被识别的真实用户 IP。
- 价格： 每 GB 1 美元起，按量付费，流量永不过期，无需订阅。
- 覆盖范围： 195 个国家中超过 9000 万个合乎道德来源的 IP。
- 可靠性： 99.51% 的成功率，在 G2 上获评 5 分中的 4.8 分。
- 协议与定向： 支持 HTTP、HTTPS 和 SOCKS5，含按国家定向。
nginx 正向代理与反向代理有何区别？
正向代理位于客户端之前，将其请求向外转发到任意目标；而反向代理位于服务器之前，代表服务器接受入站请求。两者的核心区别在于流量方向。
请记住这一点，因为大多数 nginx 教程讲的是反向代理：
- 正向代理。客户端被配置为经由它发送流量，从而向目标隐藏客户端 IP。这正是通过
curl -x或浏览器代理设置配置的方式。 - 反向代理。客户端照常连接到公开主机名；nginx 将请求路由到后端服务器池，客户端不会察觉代理的存在。
如需更深入的对比，请参阅我们的指南 reverse proxy vs forward proxy。本文其余部分只讨论正向代理。
开始之前你需要准备什么？
你需要一台拥有公网 IP 的 Linux 服务器、已安装的 nginx，并且对于 HTTPS，还需要一个包含 CONNECT 模块的 nginx 构建。普通 HTTP 转发在任何标准 nginx 上都能工作。
检查你的二进制文件是否已支持 CONNECT：
nginx -V 2>&1 | grep -o proxy_connect
# empty output means the module is not compiled in标准 nginx 没有 HTTPS 隧道所需的 HTTP CONNECT 方法的指令，因此浏览器和 curl 无法通过未经修改的构建为 TLS 建立隧道。要添加它，请用开源的 ngx_http_proxy_connect_module 为 nginx 打补丁并重新编译：
git clone https://github.com/chobits/ngx_http_proxy_connect_module
cd nginx-1.27.0
patch -p1 < ../ngx_http_proxy_connect_module/patch/proxy_connect_rewrite_102101.patch
./configure --add-module=../ngx_http_proxy_connect_module
make && make install让补丁文件与你的 nginx 版本相匹配；模块仓库中列出了哪个补丁对应哪个版本。
如何一步步搭建 nginx 正向代理？
定义一个专用的 server 块，使其监听代理端口、设置 DNS 解析器，并将每个请求转发到客户端请求的主机。先从普通 HTTP 开始，然后为 HTTPS 添加 CONNECT 指令。
这是一份用于 HTTP 流量、将 nginx 作为正向代理的最小配置：
server {
listen 8888;
resolver 1.1.1.1 ipv6=off;
location / {
proxy_pass http://$http_host$request_uri;
proxy_set_header Host $http_host;
proxy_buffers 256 4k;
}
}resolver 这一行很重要，因为 nginx 会在请求时解析动态的目标主机。现在扩展同一个块，用 CONNECT 方法为 HTTPS 建立隧道。下面这个 nginx 正向代理 HTTPS 示例启用了 CONNECT，并将其限制在标准的 TLS 端口：
server {
listen 8888;
resolver 1.1.1.1 ipv6=off;
proxy_connect;
proxy_connect_allow 443 563;
proxy_connect_connect_timeout 10s;
proxy_connect_read_timeout 10s;
proxy_connect_send_timeout 10s;
location / {
proxy_pass http://$http_host$request_uri;
proxy_set_header Host $http_host;
}
}开放的正向代理存在安全隐患，因此应仅允许已知客户端访问。按 IP 配置 allow 列表是最简单的控制方式：
location / {
allow 198.51.100.0/24;
deny all;
proxy_pass http://$http_host$request_uri;
}如果希望基于凭据而非 IP 规则控制访问，请为 nginx 配置认证层；我们的 proxy authentication 指南介绍了用户名密码认证及其使用的 HTTP 407 握手。
如何验证 nginx 正向代理是否正常工作并修复常见错误？
用 -x 标志将 curl 指向代理，并请求一个 IP 回显服务；如果响应中显示的是代理服务器的公网 IP，就说明流量正经由该代理转发。请分别测试 HTTP 和 HTTPS。
curl -x http://203.0.113.10:8888 http://httpbin.org/ip
curl -x http://203.0.113.10:8888 https://httpbin.org/ip添加一个日志格式，以便在调试时查看每个被转发的请求及其上游目标：
log_format proxy '$remote_addr [$time_local] '
'"$request" $status $body_bytes_sent '
'upstream=$upstream_addr';
access_log /var/log/nginx/forward_proxy.log proxy;当测试失败时，逐一排查常见原因：
- HTTPS 返回 400 或挂起。CONNECT 模块未被编译进去，或缺少
proxy_connect。重新检查nginx -V。 - 502 或解析错误。
resolver指令缺失，或指向了一个无法访问的 DNS 服务器。 - 对已允许客户端返回 403。发起请求的 IP 不在你的
allow范围内。 - 407 Proxy Authentication Required。某个上游代理需要凭据；参见 HTTP 错误 407。
如何将 nginx 接入住宅代理池？
将 nginx 的流量转发至带有 Proxy-Authorization 请求头的住宅代理网关，即可把 nginx 接入上游代理。这相当于让静态服务器 IP 能够访问真实 IP 轮换池。
可以将此设计视为三层代理架构，明确各层职责有助于厘清信任边界和轮换边界：
- 第 1 层，客户端。你的脚本或浏览器，用
-x配置为使用 nginx。 - 第 2 层，nginx 正向代理。部署在你自有的 IP 上，用于集中控制、记录日志和管理访问规则。
- 第 3 层，住宅代理池。在大量真实 IP 之间轮换，并提供地理位置定向，这是 nginx 自身无法提供的能力。
以下是将请求转交给 住宅代理网关的最简配置，其中 Basic 令牌是 login:password 的 base64 编码：
server {
listen 8890;
location / {
proxy_pass http://gw.dataimpulse.com:823;
proxy_set_header Proxy-Authorization "Basic bG9naW46cGFzc3dvcmQ=";
proxy_set_header Host $http_host;
}
}需要权衡的是：如果只需要轮换功能，直接将客户端指向 gw.dataimpulse.com:823 比额外经过一层 nginx 更简单。只有需要利用 nginx 实现集中日志、缓存或团队共享访问控制时，这种链式配置才有价值。
哪种代理设置适合你的工作？
如果你能控制客户端且一个出口 IP 已足够，就单独使用 nginx 正向代理；如果需要轮换、地理覆盖或更强的抗封锁能力，则增加住宅代理池。选择取决于工作所需的不同 IP 数量。
下面是一个便于理解的决策矩阵：
- 在以下情况下单独使用 nginx 正向代理：你需要集中管理出站流量、过滤或记录请求，或在内部团队中共享一个出口 IP。
- 在以下情况下避免单独使用 nginx：目标按 IP 限速或封锁，或你需要请求来自许多国家；nginx 从单个服务器 IP 转发，无法轮换。
下面的对比将两者并排列出。
| 因素 | nginx 正向代理 | residential 代理服务 |
|---|---|---|
| 出口 IP | 一个服务器 IP | 轮换，超过 9000 万个 IP |
| Geo-targeting | 服务器所在地 | 195 个国家，含按国家定向 |
| 抗封锁能力 | 低，单个 IP 容易被封 | 高，真实用户 IP 可轮换 |
| 搭建工作量 | 构建、打补丁、配置 nginx | 网关凭据，无需自行构建 |
| 最适合 | 集中出口与日志记录 | 网页采集、测试、广告核验 |
对于更复杂的自动化任务，我们的 网页采集最佳实践 指南介绍了轮换和速率控制；如果成本或运营商 IP 比住宅 IP 的真实性更重要，数据中心代理或 移动代理会更合适。
nginx 正向代理有哪些局限和风险？
nginx 正向代理有实实在在的局限：它从一个 IP 转发，HTTPS 支持并非内置，而开放的实例是一种安全风险。了解这些局限有助于建立合理预期。
- 单一 IP，无轮换。每个请求都从同一个服务器地址出去，因此任何按 IP 限制的目标都会很快对你限速或封禁。
- HTTPS 需要自定义构建。CONNECT 隧道依赖第三方模块和与版本匹配的补丁，这使升级变得复杂。
- 开放代理的危险。没有 allow 规则或认证，任何找到该端口的人都能通过你的服务器路由流量，使你面临滥用和法律风险。
- 没有地理覆盖。出口位置固定在服务器所在地，因此进行多地区测试需要更多服务器；打补丁、监控和保障正常运行时间也都需要你自行负责。
nginx 并非 DataImpulse 的产品，DataImpulse 也不提供托管式网页采集 API 或免费网络代理。适合 nginx 的场景可自行部署；需要规模化时，DataImpulse 通过 合规代理从自愿参与并获得报酬的用户处提供 IP。
常见问题
nginx 默认能用作正向代理吗？
任何标准构建都可通过包含 proxy_pass 的 server 块转发普通 HTTP。要通过 CONNECT 为 HTTPS 建立隧道，则需编译第三方模块 ngx_http_proxy_connect_module；该模块不属于默认 nginx 构建。
nginx 正向代理与 nginx proxy manager 有何区别？
nginx 正向代理是你自行编写的原生配置；nginx proxy manager 则是独立的 Web UI，主要用于管理反向代理主机和 SSL。proxy manager 不提供通用正向代理或 IP 轮换功能。
为什么 nginx 正向代理不能轮换 IP 地址？
nginx 从其运行所在服务器的单一公网 IP 转发流量。在大量地址之间轮换需要真实 IP 池，这是住宅代理服务而非单个 nginx 实例提供的能力。
运行一个开放的 nginx 正向代理安全吗？
不安全。开放的正向代理允许任何人经由你的服务器转发流量，这会招致滥用和法律风险。在暴露端口之前，务必用 allow 规则、认证或防火墙来限制访问。
如何将 nginx 接入住宅代理？
将 nginx 的流量转发至住宅代理网关，并附上包含 base64 编码用户名和密码的 Proxy-Authorization 请求头。多数情况下，除非需要 nginx 用于日志记录或共享访问控制，否则直接将客户端指向网关更简单。
什么时候 DataImpulse 并不合适？
如果你需要静态 ISP 代理、完全托管的网页采集 API，或访问银行和政府网站，DataImpulse 并不适合。它专注于提供用于采集公开数据和访问内容的轮换住宅、移动和数据中心代理。
需要 nginx 无法提供的轮换吗？
当一个服务器 IP 不够用时，DataImpulse 可在 195 个国家提供超过 9000 万个可轮换的住宅、移动和数据中心 IP，按量付费，每 GB 1 美元起，流量永不过期。创建账户以获取 gateway 凭据，并将 nginx 或客户端直接接入代理池。