1. WebSocket与Nginx代理基础认知第一次在Nginx里配WebSocket代理时我盯着502错误看了整整一上午。这玩意儿和HTTP代理完全不是一回事——WebSocket是长连接而Nginx默认的短连接配置会直接掐断握手过程。要让它们和平共处得先搞明白三个关键点WebSocket协议的握手过程本质上还是HTTP请求但Connection头必须包含Upgrade字段。Nginx默认的proxy_http_version 1.0不支持这个特性这就是为什么直接配置会报Error during WebSocket handshake。反向代理场景下Nginx需要明确告知后端这个连接是要升级协议的。我见过有人试图用if判断$http_upgrade结果把Nginx配置搞得像瑞士奶酪——全是漏洞。正确做法是用map指令动态设置Connection头既安全又优雅。长连接的超时设置是另一个深坑。某次线上故障就是因为proxy_read_timeout设了60秒而客户端心跳间隔是65秒导致连接不断被重置。后来我学乖了所有WebSocket代理的超时都设为24小时并在应用层自己做心跳检测。2. 核心配置参数详解2.1 必须配置的指令清单在/etc/nginx/conf.d/websocket.conf里这几个参数一个都不能少proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection upgrade; proxy_set_header Host $host;特别是proxy_http_version1.0和1.1的区别就像马车和高铁——1.0根本不支持协议升级。曾经有团队为了兼容老系统硬用1.0结果每秒重建上千个连接直接把服务器压垮。2.2 超时参数黄金组合这是我的生产环境配置模板proxy_read_timeout 86400s; proxy_send_timeout 86400s; proxy_connect_timeout 30s;注意单位是秒不是毫秒有次新人把86400s写成86400ms结果每86秒就断连一次。建议用变量定义这些值比如set $ws_timeout 86400; proxy_read_timeout ${ws_timeout}s;2.3 负载均衡特殊处理当WebSocket走到upstream时需要特别关注两点保持会话粘滞session stickyupstream ws_backend { ip_hash; server 10.0.0.1:8080; server 10.0.0.2:8080; }禁用缓冲避免数据延迟proxy_buffering off;实测发现开启缓冲会导致消息延迟高达200ms对于实时游戏简直是灾难。3. 完整配置示例与调试技巧3.1 生产级配置模板这是我用了三年的稳定配置支持TLS和负载均衡map $http_upgrade $connection_upgrade { default upgrade; close; } server { listen 443 ssl; server_name ws.example.com; ssl_certificate /path/to/cert.pem; ssl_certificate_key /path/to/key.pem; location /chat { proxy_pass http://ws_backend; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection $connection_upgrade; proxy_set_header Host $host; proxy_read_timeout 86400s; proxy_send_timeout 86400s; proxy_connect_timeout 30s; proxy_buffering off; } } upstream ws_backend { ip_hash; server 10.0.0.1:8080 max_fails3 fail_timeout30s; server 10.0.0.2:8080 max_fails3 fail_timeout30s; }3.2 调试工具链用curl测试握手curl -i -N -H Connection: Upgrade -H Upgrade: websocket -H Host: ws.example.com -H Origin: http://example.com https://ws.example.com/chat实时监控连接状态watch -n 1 netstat -anp | grep -E nginx|8080 | grep ESTABLISHED抓包分析需要sudo权限tcpdump -i eth0 -A -s 1024 port 8080 and (tcp[((tcp[12:1] 0xf0) 2):4] 0x47455420)4. 常见故障排除手册4.1 错误码速查表错误现象可能原因解决方案502 Bad Gateway后端服务未启动或防火墙拦截检查后端进程和iptables规则426 Upgrade RequiredNginx配置未包含Upgrade头确认proxy_set_header Upgrade配置400 Invalid Request客户端未发送Origin头在客户端添加Origin头连接20秒后断开proxy_read_timeout设置过小调整为86400s4.2 内存泄漏排查WebSocket连接会占用文件描述符这个命令可以查看Nginx当前连接数cat /proc/$(cat /var/run/nginx.pid)/limits | grep open files如果接近上限在nginx.conf增加worker_rlimit_nofile 65535; events { worker_connections 4096; }4.3 TLS性能优化对于高并发场景建议调整SSL参数ssl_session_cache shared:SSL:50m; ssl_session_timeout 1d; ssl_session_tickets off; ssl_prefer_server_ciphers on; ssl_protocols TLSv1.2 TLSv1.3;实测这个配置能让TLS握手速度提升40%特别适合移动端WebSocket连接。5. 高级应用场景5.1 灰度发布方案通过Nginx的split_clients实现WebSocket的AB测试split_clients ${remote_addr}${http_user_agent} $ws_version { 50% v1_backend; * v2_backend; } location /chat { proxy_pass http://$ws_version; # ...其他WebSocket配置 }5.2 连接数限流防止单个IP占用过多资源limit_conn_zone $binary_remote_addr zonews_limit:10m; location /chat { limit_conn ws_limit 50; # ...其他WebSocket配置 }5.3 协议升级失败降级当客户端不支持WebSocket时自动降级为HTTP长轮询location /chat { try_files $uri fallback; # ...WebSocket配置 } location fallback { proxy_pass http://polling_backend; proxy_http_version 1.1; }这个配置的关键在于try_files指令会先尝试WebSocket连接失败后才走fallback路径。