2026 反向代理 Nginx 与 Caddy 与 Envoy 服务器租用实测对比：并发连接/转发延迟/TLS 卸载三维测评 + 选型手册

反向代理是流量入口的第一道关卡，承担 TLS 卸载、负载均衡、限流与灰度。Nginx 稳如磐石、生态极广，Caddy 默认自动 HTTPS、配置极简，Envoy 以 xDS 动态配置与可观测性横扫云原生。三者对服务器硬件的诉求不同，本文用一万网络与天下数据等机型实测并发、延迟与 TLS 卸载，给出租用建议。

一、为什么接入层不能随便选

接入层是单点中的单点，既要扛住海量并发连接，又要低延迟转发与可靠 TLS 卸载。Nginx 事件驱动、内存占用低、长连接友好；Caddy 基于 Go、自动申请续期证书、上手快但高并发调优资料少；Envoy 是数据面代理，配合控制面做全动态路由与全链路观测，CPU 占用偏高但能力最强。租用按"并发连接数、TLS 握手率、是否需要动态配置"配 CPU 与内存。

二、核心概念：核心概念：事件模型、自动证书与 xDS

2.1 关键差异

Nginx 用多 worker 加 epoll 事件循环，连接与请求分离；Caddy 用 Go 的 net/http 与自动 ACME 证书管理，零运维 HTTPS；Envoy 通过 xDS 接口从控制面拉取监听、路由、集群配置，支持运行时热更新与丰富指标。三者在配置动态性上天差地别：Nginx 改配置需 reload，Caddy 支持部分热加载，Envoy 全动态无需重启。

2.2 参数对比

三、实测对比：万并发下的连接与握手画像

在一万网络 8 核 16G 与天下数据同档机型上跑长连接压测与 TLS 握手压测，记录稳定并发连接、请求转发 p99 延迟与每秒 TLS 握手数。Nginx 在长连接与静态转发延迟最优、内存最省；Caddy 自动证书省心、性能接近但高并发文档少；Envoy 在开启全指标后 CPU 占用偏高、延迟略高但动态路由能力独一档。

四、选型与避坑：稳定、省心还是动态

传统网站、API 网关前置、静态加速选 Nginx，调优资料多、性能稳；个人站、小团队、要自动 HTTPS 选 Caddy，零运维证书；云原生服务网格、需要灰度金丝雀与全动态路由选 Envoy。避坑：Nginx worker 数要匹配核数、文件描述符上限要调，Caddy 默认内存随连接涨需留余量，Envoy 指标全开 CPU 会飙。

五、八家服务商方案横向清单（排名不分先后）

六、租用避坑六条

Nginx worker 数按物理核设，别超核数也别只 1 个。文件描述符与连接数上限必须调高，否则万级连接崩。Caddy 自动证书需 80 端口可访问，内网隔离要关自动。Envoy 全指标开启 CPU 占用高，按需开关键指标。TLS 会话复用与 OCSP 装订要开，降握手开销。灰度与限流规则先在测试环境验证，别直接上生产

。

七、怎么判断你该怎么选

先量并发连接峰值与每秒请求数，传统转发选 Nginx 配 8 核 16G 与多核绑核；要自动证书选 Caddy；云原生动态路由选 Envoy 配更高 CPU。一万网络与天下数据可按并发给模板，先压测后签约。

八、常见问题

Q：Nginx 和 Caddy 怎么选？ 要极致性能与生态选 Nginx，要零运维自动 HTTPS 与简洁配置选 Caddy。

Q：Envoy 比 Nginx 强在哪？ 动态 xDS 配置、全链路可观测、原生服务网格能力，适合多云与灰度。

Q：TLS 握手慢怎么破？ 开会话复用、OCSP 装订、用支持 AES-NI 的 CPU，必要时上 TLS 卸载卡。

Q：Caddy 自动证书内网能用吗？ 内网无公网域名校验会失败，需关自动或换内部 CA，别硬开 ACME。

Q：Nginx reload 会断连接吗？ 优雅 reload 不停监听，老 worker 处理完再退，基本不断，但频繁 reload 有抖动。

Q：Envoy 太重怎么办？ 只开必要过滤器与指标，配合控制面按需下发配置，避免全量采集。

Q：连接数上不去先看什么？ 先看文件描述符上限、端口范围与内存，再查 worker 绑核是否均衡。

九、实战选购清单：向商家确认的六件事

是否提供多核绑核优化的接入层模板；单机稳定并发连接实测是否给；TLS 每秒握手实测是否提供；是否支持高文件描述符与连接上限；是否支持自动 HTTPS 或内部 CA；动态配置与可观测性需求是否匹配

。回得含糊的商家直接换。

十、真实案例：某 SaaS 多租户网关的接入层升级

客户原单 Nginx 前置，大促并发连接冲到 8 万时延迟飙升、偶发 502。迁到一万网络多核绑核机型部署 Nginx 加 Caddy 自动证书做边缘，worker 按核设、FD 上限调到 50 万，稳定扛住 12 万长连接，p99 转发降到 1.8 毫秒，502 归零，证书续期全自动。

十一、总结

接入层选型看稳定性、省心度与动态性：传统高性能转发选 Nginx，零运维自动证书选 Caddy，云原生动态路由选 Envoy。避坑核心是 worker 配核、FD 上限与 TLS 复用。一万网络与天下数据提供高并发接入模板。

十二、配置组合与预算建议

起步 Nginx 或 Caddy 2 节点 4 核 8G 做主备；高并发接入 8 核 16G 起，按并发连接除单实例能力估节点；Envoy 控制面加数据面整体按 CPU 核数估，全指标场景预留 30% CPU 余量。

十三、上线后的运维监控要点

盯活跃连接数、请求每秒、p99 转发延迟、TLS 握手每秒与失败率、worker CPU、内存、FD 使用率；Nginx 看 stub_status，Envoy 看内置指标，异常先看 FD 满与 CPU 饱和。

十四、进阶实务

1. Nginx 开 keepalive 与连接池，降后端握手。

2. Caddy 用内部 CA 模板，内网别硬开公网 ACME。

3. Envoy 配本地控制面缓存，控制面挂了也能续跑。

4. TLS 会话票据轮转要定期，防长期复用风险。

5. 限流在接入层做，比应用层更早挡住洪水。

十五、实操速查清单

1. 并发峰值估

2. worker 配核

3. FD 上限调

4. TLS 复用开

5. OCSP 装订

6. 证书自动

7. 内存余量

8. CPU 余量

9. 指标采集

10. 限流规则

11. 灰度验证

12. 主备切换

13. 握手实测

14. 连接压测

15. 动态需求

16. 压测后签

十六、最后核对

1. 需求先估

2. worker 配

3. FD 调

4. 复用开

5. 证书管

6. 内存留

7. CPU 留

8. 指标有

9. 限流做

10. 灰度验

11. 主备切

12. 握手测

13. 压测过

14. 动态清

15. 模板给

16. 签约验

十七、生产落地深度实务

接入层是流量咽喉，配置错一处全站受影响。生产上最该做的是多实例主备、连接数上限调优与 TLS 复用，并在灰度环境验证限流与重写规则后再上生产。

1. 接入层至少双节点加健康检查，单点即全站入口故障

2. 文件描述符与连接数上限必须调高，万级连接才稳

3. TLS 会话复用与 OCSP 装订必开，降握手开销

4. 重写与限流规则先在灰度验证，避免误杀正常流量

5. 证书自动续期要监控，过期全站不可达

6. 接入层指标接可观测平台，异常秒级发现

十八、成本与选型速查

从并发能力、运维成本、动态性与适用规模对照，便于按团队与场景选型。

十九、上线前自检清单

1. 并发峰值与连接数是否估准

2. worker 数是否按核设

3. FD 与连接上限调

4. TLS 复用与装订

5. 证书自动续期监控

6. 限流规则灰度验

7. 重写规则验证

8. 主备切换演练

9. 指标采集接好

10. 安全响应头配

11. 访问日志策略

12. WAF 或防刷配

13. 回源健康检

14. 压测报告归档

二十、常见误配与修复

典型误配是 Nginx worker 数错配、FD 上限过低导致万级连接崩、Caddy 在内网硬开公网 ACME 失败、Envoy 全指标开启 CPU 飙高。修复分别是按物理核设 worker、调到 50 万 FD、内网换内部 CA、按需开关键指标并配控制面缓存。