网络网关与流量管理：围绕反向代理、负载均衡、API Gateway、DNS、SSL/TLS 证书、CDN 与流量路由，整理原则、流程与自检清单。
适用场景包括：反向代理与负载均衡配置，API Gateway 设计（路由/限流/认证），SSL/TLS 证书管理（自动续期），DNS 记录管理与切换，CDN 配置与缓存策略，多服务流量路由（路径/域名），WebSocket/gRPC 代理，DDoS 防护与 WAF。
核心原则：1) TLS Everywhere：外部流量 HTTPS、内部 mTLS、HSTS；2) 最小暴露：只暴露必要端口，内部服务不直接对外，安全组/NetworkPolicy 限制；3) 高可用：多实例负载均衡、健康检查剔除故障节点、DNS 多记录/Failover；4) 缓存分层：CDN→反向代理→应用，静态资源长缓存加版本化，API 按需缓存；5) 限流保护：全局与按 IP/用户限流，突发容忍，429 返回 Retry-After；6) 可观测：结构化访问日志、延迟/错误率/流量指标、实时可视化；7) 零停机变更：配置热加载、切换前降低 DNS TTL、蓝绿/金丝雀流量切分。
工作流程：网络架构设计（外部入口 CDN→LB→Gateway，内部通信，网络分段）；DNS 配置（A/CNAME/ALIAS，TTL 策略正常 300s、切换前 60s）；SSL/TLS（cert-manager 自动签发 Let's Encrypt、通配符证书、到期监控）；反向代理/网关（路径/域名/Header 路由、上游健康检查、超时与重试、WebSocket/gRPC 支持）；负载均衡（Round Robin/Least Conn/IP Hash、会话保持、跨 AZ）；安全加固（WAF 规则 OWASP Top 10、Rate Limiting、IP 白/黑名单、Bot 检测）；CDN 配置（静态缓存规则、动态 bypass、缓存失效 purge）；监控告警（4xx/5xx、P50/P95/P99、带宽与连接数）。
技术选型对比：Nginx 通用反向代理，性能高、生态成熟，配置复杂；Traefik 适合 K8s/Docker 原生，自动发现、热加载，高并发略逊；AWS ALB 云原生托管免运维，锁定云厂商；Cloudflare 提供 CDN+WAF+DNS，全球节点、DDoS 防护，依赖第三方；Kong 为 API Gateway，插件丰富，运维复杂；Envoy 面向 Service Mesh，L7 能力强，学习曲线高。
配套模板：templates/nginx-config-template.md（Nginx 反向代理+SSL+限流完整配置模板）。
与其他技能协作：上游为 infrastructure-as-code、kubernetes-orchestration；下游为 release-strategy、monitoring-alerting、secrets-config、ci-cd-pipeline。
限制与风险提示：不配 HSTS 可能遭中间人降级；证书过期会导致全站不可用；超时过长会拖垮连接池；不限流易被打爆；CDN 缓存 API 响应会造成数据不一致；DNS TTL 过长会使切换生效慢；不转发真实 IP 会导致日志失真；WebSocket 无 upgrade 会连接失败；HTTP 未重定向 HTTPS 会产生混合内容；无健康检查会把流量打到故障节点；通配符证书不续期会使子域名全挂；Nginx reload 前不测试配置可能导致宕机。
本条目未提供具体安装命令、收费方式与版本要求，暂未提供相关细节。