虛擬伺服器實作全攻略：應用層代理與 IP 層反向 NAT 詳細比較

虛擬伺服器對外呈現單一入口（單一公網 IP/域名），內部實際由多台實體伺服器分擔服務。實作技術主要分為應用層（第 7 層）代理與網路層（第 3/4 層）反向 NAT兩大類。

一、應用層虛擬伺服器 —— 反向代理模式

核心原理：前端代理伺服器接收所有請求，依 URL 路徑、Host Header 或規則轉發至後端不同實體主機。典型工具：Apache mod_proxy、Nginx、HAProxy、IIS ARR。

Apache httpd.conf 設定範例

# 前端單一入口 www.abc.com
ProxyPass /sales https://192.168.0.1/
ProxyPass /rd    https://192.168.0.2/
ProxyPass /head  https://192.168.0.3/

• 用戶訪問 https://www.abc.com/rd → 實際由 192.168.0.2 處理。
• 後端伺服器可使用私有 IP，無需直接暴露於公網。
• 支援 SSL 卸載（SSL Termination）、快取、壓縮、WAF 等第 7 層進階功能。

優缺點對照

二、網路層虛擬伺服器 —— IP 反向 NAT（Layer 4 Switching）

核心原理：在核心路由/防火牆/負載平衡器上修改封包目的 IP，將對虛擬 IP（VIP）的連線導向後端真實 IP（RIP）。Linux Kernel 2.2+ 內建 ip_port_forward，配合 ipmasqadm 管理。

Linux 設定流程

1. 核心編譯勾選 CONFIG_IP_MASQUERADE、CONFIG_IP_PORTFW。
2. 建立對應規則：
   ipmasqadm -A -a www.abc.com:80 -R 192.168.0.1:80
ipmasqadm -A -a www.abc.com:80 -R 192.168.0.2:80
3. 設定 ipchains/iptables 允許轉發：
   ipchains -A forward -j MASQ -s 192.168.0.0/24
ipchains -A forward -j MASQ -d 192.168.0.0/24

優缺點對照

三、選型建議

• Web 服務為主、需 URL 路由、SSL 卸載、WAF → 應用層代理（Nginx/HAProxy/IIS ARR）。
• 非 HTTP 服務、極高併發、簡單 IP/Port 分發 → Layer 4 交換器（F5、A10、LVS/Keepalived、硬體 L4 Switch）。
• 企業級生產環境 → 建議採 L4 + L7 混合架構：前端 L4 分發流量至多組 L7 代理叢集，兼顧效能與彈性。

現代雲原生架構常以 Ingress Controller（Nginx/Traefik）+ Service Mesh（Istio/Linkerd） 實現更細緻的流量治理，傳統虛擬伺服器概念已演進為微服務網關與服務發現機制。