配置Nginx CDN源站的核心在于正确设置HTTP头、处理回源协议及优化缓存策略，以确保内容高效分发且源站安全。
搭建CDN加速并非简单地将流量指向一个IP，而是需要精细调整Nginx配置，使其既能配合CDN节点进行缓存命中，又能防止恶意爬虫直接攻击源站，很多站长在初期配置时，往往忽略了缓存控制头和防盗链机制，导致源站带宽压力巨大，甚至出现缓存失效、内容不同步的问题，下面我们将深入拆解这一过程,提供可落地的操作方案。
Nginx源站基础配置与缓存控制
源站的首要任务是告诉CDN节点哪些内容可以缓存，以及缓存多久，如果配置不当，CDN节点会频繁回源，这不仅拖慢用户访问速度,还会增加源站负载。
关键HTTP响应头设置
在Nginx配置文件中，你需要明确指定缓存生命周期，这主要通过add_header指令实现。
- Cache-Control：这是最核心的指令，建议对静态资源（如图片、CSS、JS）设置较长的过期时间，例如
max-age=31536000（一年），对于动态页面或频繁更新的内容，设置为no-cache或较短的时间。 - Expires：作为HTTP/1.0的兼容指令，通常与
Cache-Control配合使用,确保旧版浏览器也能正确识别缓存策略。 - Vary：如果站点支持多终端访问，必须设置
Vary: User-Agent，否则CDN节点可能将移动端页面缓存给PC端用户,导致显示错乱。
针对不同文件类型的差异化策略
不要对所有文件应用同一套缓存规则，业内专家指出,针对不同资源类型制定策略是提升性能的关键。
静态资源优化
对于jpg、png、css、js等文件，可以大胆延长缓存时间，在Nginx配置中，可以使用location块进行匹配：
location ~ \.(jpg|jpeg|png|gif|ico|css|js)$ {
expires 30d;
add_header Cache-Control "public, immutable";
access_log off;
}
这里使用immutable标志告诉浏览器，只要文件名不变，内容就不会变,无需再次验证。
处理
对于API接口或后台管理系统，通常不需要缓存，确保这些路径下的请求直接回源或实时处理,避免缓存敏感数据。
CDN回源配置与安全防护
当CDN节点没有命中缓存时，它会向源站发起回源请求，源站必须能够识别这些请求来自合法的CDN节点,并做出相应处理。
识别CDN回源请求
CDN节点在回源时，通常会在HTTP头部携带特定的标识，如X-Forwarded-For或自定义的X-Cache头，通过检查这些头部,源站可以区分普通用户访问和CDN回源请求。
- 日志区分：在Nginx日志格式中，记录
$http_x_forwarded_for字段,便于后续分析流量来源。 - 权限控制：如果源站希望仅允许CDN节点回源，可以配置IP白名单，但这需要CDN服务商提供固定的回源IP段，操作较为复杂,多数情况下建议通过Header识别。
防止源站被直接访问
直接暴露源站IP存在安全风险,恶意用户可能绕过CDN直接攻击源站。
隐藏源站IP
确保DNS解析只指向CDN CNAME，而不是源站IP，在Nginx配置中,可以限制非CDN节点的访问：
# 假设CDN回源IP段为103.21.244.0/22 allow 103.21.244.0/22; allow 127.0.0.1; deny all;
注意：此配置需谨慎使用，务必确认CDN服务商的回源IP段,否则会导致正常用户无法访问。
HTTPS回源配置
随着HTTPS普及,CDN节点与源站之间的通信也建议采用HTTPS。
- 证书配置：源站需安装有效的SSL证书。
- 协议匹配：在Nginx中配置
proxy_ssl_server_name on;，确保SNI（服务器名称指示）正确传递,避免SSL握手失败。 - 证书验证：如果源站使用自签名证书，需在CDN控制台关闭“验证源站证书”选项,否则回源会失败。
常见问题排查与优化技巧
在实际运维中，可能会遇到缓存不生效、回源超时等问题,以下是常见的排查思路和优化建议。
缓存未生效的常见原因
- Header冲突：检查源站是否返回了
Cache-Control: no-store或Pragma: no-cache,这些指令会强制CDN不缓存。 - URL差异：CDN节点认为
example.com/page和example.com/page/是两个不同的资源，确保URL规范统一,或使用301重定向统一路径。 - Vary头设置不当：如果设置了
Vary: Cookie，而CDN节点未正确传递Cookie，可能导致缓存碎片化,命中率降低。
回源超时优化
如果CDN节点回源时遇到超时,可能是源站处理慢或网络问题。
- 调整超时时间：在Nginx中增加
proxy_read_timeout和proxy_connect_timeout的值,给源站更多响应时间。 - 负载均衡：如果单台源站压力大，可部署多台源站并配置负载均衡,提高并发处理能力。
价格与地域选择考量
在配置过程中，除了技术细节,还需考虑成本和服务质量。
带宽成本优化
合理的缓存配置能显著降低回源带宽，据工信部数据，优化缓存策略后，多数情况下源站带宽消耗可降低较大比例，对于流量较大的站点，选择按流量计费而非按带宽峰值计费,往往更具性价比。
地域节点选择
不同CDN服务商在不同地域的节点覆盖和价格存在差异，某些服务商在华南地区的价格可能更具优势，而在华北地区则表现一般，建议根据目标用户的地域分布,选择节点覆盖好且价格合理的CDN服务商。
Nginx CDN源站配置常见问题解答
如何验证CDN缓存是否生效？
使用命令行工具curl检查HTTP响应头，发送请求时添加-I参数，查看返回头中是否包含X-Cache: HIT或X-Cache: MISS，如果显示HIT，说明缓存命中；如果显示MISS,则需检查源站缓存配置是否正确。
CDN回源时如何传递用户IP？
CDN节点通常会在HTTP头部添加X-Forwarded-For字段，包含真实用户IP，在Nginx中，可通过set_real_ip_from指令信任CDN节点的IP段，并使用real_ip_header X-Forwarded-For;将真实IP传递给后端应用,确保日志记录准确。
源站配置HTTPS后CDN无法访问怎么办？
首先检查源站SSL证书是否有效且未过期，确认CDN控制台是否开启了“HTTPS回源”以及“强制HTTPS”，如果源站使用自签名证书，需在CDN控制台关闭证书验证,检查防火墙是否放行了443端口。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/233949.html
