NGINX反向代理中localhost与192.168.1.2的proxy_pass差异及问题咨询

问题现象 #

我在用NGINX做反向代理时碰到个怪问题：大部分应用用proxy_pass http://localhost:xxxx;就能正常代理，但有2个应用必须指定proxy_pass http://192.168.1.2:xxxx;才能正常工作。

比如给其中一个应用配置：

location / {
   proxy_pass http://localhost:8585;
}

会收到以下错误和警告：

2023/04/30 21:29:47 [error] 75328#71672: *1 connect() failed (10061: No connection could be made because the target machine actively refused it) while connecting to upstream, client: 192.168.1.1, server: alwaysup.mydomain.com, request: "GET /login HTTP/2.0", upstream: "http://[::1]:8585/login", host: "alwaysup.mydomain.com"
2023/04/30 21:29:47 [warn] 75328#71672: *1 upstream server temporarily disabled while connecting to upstream, client: 192.168.1.1, server: alwaysup.mydomain.com, request: "GET /login HTTP/2.0", upstream: "http://[::1]:8585/login", host: "alwaysup.mydomain.com"

原因分析 #

从错误日志里的upstream: "http://[::1]:8585/login"能揪出关键：NGINX把localhost解析成了IPv6的[::1]，但那2个应用只监听了IPv4的127.0.0.1或者192.168.1.2端口，根本没开IPv6的::1监听，所以连接直接被拒绝。

其他应用能正常用localhost，是因为它们同时监听了IPv4和IPv6的本地地址，不管NGINX解析到哪个地址都能连上。

方案选择 #

方案1：统一用proxy_pass http://192.168.1.2:xxxx #

• 优点：操作简单，不用碰应用配置，直接统一NGINX配置就行，彻底避开localhost解析的差异问题。
• 缺点：如果服务器内网IP变了，所有相关的NGINX配置都得改，维护成本略高。

方案2：修改这2个应用，让它们支持localhost #

• 具体操作：把应用的监听地址从127.0.0.1或192.168.1.2改成0.0.0.0（监听所有IPv4地址）、::（监听所有IPv6地址，部分环境可兼容IPv4双栈），或者直接新增::1的监听规则。
• 优点：能保持NGINX配置的一致性，后续加新应用不用考虑特殊情况；应用的监听范围更灵活，适合需要本地IPv6访问的场景。
• 缺点：得改应用配置甚至代码，还要重启应用，有一定操作成本。

额外可选方案：强制NGINX用IPv4解析localhost #

如果不想动应用，也可以在NGINX配置里直接指定用IPv4的127.0.0.1代替localhost：

location / {
    proxy_pass http://127.0.0.1:8585;
}

这个方式和用192.168.1.2的效果类似，但只针对本地回环，不会受内网IP变化影响。

内容的提问来源于stack exchange，提问作者MKANET