Nginx基础教程（93）Nginx Stream机制监听端口：别让数据库裸奔！Nginx Stream：你家的服务端口，需要一个“隐形保安”

第一章：开门见山——那个“裸奔”的数据库，我看不下去了！

兄弟们，不知道你们有没有干过这种事：项目紧，任务急，为了图省事，直接把测试服务器，甚至是生产环境的Redis或者MySQL端口（比如3306， 6379）在防火墙上一开放，啪一下，就能连了。

方便是真方便，但你这相当于把家里的金库大门，直接对着大马路敞开啊！每天都有无数脚本小子在网络上扫描这些默认端口，尝试各种弱密码攻击。你这不叫开放，这叫“裸奔”，是在危险的边缘疯狂试探！

那有同学要问了：“我知道危险啊，但我需要用远程工具连上去看数据、做调试啊，不暴露端口怎么办？用SSH隧道？太麻烦！用跳板机？还得维护一台机器！”

今天，我就来给你介绍一位被你严重低估的“隐形保安”——Nginx Stream模块。它就能完美、优雅且强大地解决这个问题。

第二章：重新认识Nginx——它不只是个“网站前台”

在咱们的固有印象里，Nginx是干啥的？处理HTTP请求的，做反向代理的，动静分离的，负载均衡的。没错，它是个顶级的“网站前台”和“流量调度员”。

但你知道吗？从Nginx 1.9.0版本开始，它解锁了一个新姿势：ngx_stream_core_module 模块。这个模块让Nginx的能力，从应用层（HTTP/HTTPS）一下子下沉到了传输层（TCP/UDP）。

打个比方你就懂了：

• 传统的HTTP反向代理：像一个大公司的前台总机。你打电话（发HTTP请求）过来，说“喂，我找销售部”，前台帮你转接到销售部的分机。她只处理“找部门”这种特定规则的请求。
• 今天的Stream代理：像一家国际货运港的中央调度。它不关心集装箱里装的是玩具汽车还是冰箱（不解析HTTP协议），它只认集装箱上的目的港标签（目标端口）。你的货船（TCP数据流）来了，它根据标签，指挥吊车把集装箱准确无误地装上去往目的港的另一艘货船上。

所以，Stream模块的核心能力就是：“无脑”转发TCP/UDP数据流。这意味着，它几乎可以代理任何基于TCP/UDP的服务！

• 数据库？MySQL， PostgreSQL， Redis， 没问题！
• 邮件服务？SMTP， POP3， IMAP， 拿下！
• SSH， RDP远程桌面？照样通吃！
• 甚至你可以用它来代理游戏服务器、内网穿透……

第三章：Stream模块的“超能力”详解——不只是转发那么简单

如果你以为Stream模块就是个端口转发工具，那可就太小看它了