如何通过 Nginx 配置 proxy_socket_keepalive 解决长连接在物理防火墙处的静默断开-Nginx-PHP中文网

proxy_socket_keepalive 用于解决 CDN 回源链路中防火墙静默断连问题，通过启用内核级 TCP keepalive 探测（如 on 240s 10s 3），在连接被中间设备丢弃前主动发现并清理失效 socket，需配合 proxy_http_version 1.1、proxy_set_header Connection '' 及 upstream keepalive 连接池使用。

如何通过 nginx 配置 proxy_socket_keepalive 解决长连接在物理防火墙处的静默断开

proxy_socket_keepalive 是解决 CDN 回源链路中「物理防火墙静默断连」问题的关键配置。这类防火墙（或中间 LB、NAT 设备）往往在连接空闲一段时间后直接丢弃 TCP 连接，不发 FIN/RST，导致 Nginx 仍认为连接可用，后续请求发过去时才收到 connection reset by peer 或超时，表现为偶发 502/504。

它不依赖应用层心跳，而是启用内核级 TCP keepalive 探测，在连接真正失效前主动发现并清理句柄，让 Nginx 可及时复用新连接或触发重试。

? 正确开启 proxy_socket_keepalive

该指令必须配合 proxy_http_version 1.1 和 proxy_set_header Connection '' 才能生效：

location / {
    proxy_pass http://backend;
    proxy_http_version 1.1;
    proxy_set_header Connection "";

    # 启用 TCP 层保活探测
    proxy_socket_keepalive on;
}

on 表示使用系统默认参数（Linux 默认：空闲 7200s 后探测，每 75s 一次，连续 9 次失败断连）
但默认值对防火墙场景通常过大——多数企业防火墙空闲超时为 300～600 秒，需主动调小

⚙️ 针对防火墙优化 keepalive 参数

推荐显式设置探测时机，使其略小于防火墙的空闲超时（例如防火墙设为 5 分钟，则 Nginx 探测应在 4 分钟内启动）：

proxy_socket_keepalive on 240s 10s 3;

含义：

空闲 240 秒（4 分钟）后开始发送 TCP keepalive 探测包
每 10 秒发一次
连续 3 次无响应即关闭该 socket

这样可确保在防火墙切断前就感知到异常，避免请求落到已失效连接上。

✅ 实际建议：先确认你所处网络环境的防火墙/网关空闲超时值（可查设备文档或抓包验证），再将 idle 值设为其 70%～80%

? 必须搭配 upstream keepalive 连接池

proxy_socket_keepalive 只管“单个 socket 是否还活着”，要真正复用连接、减少新建开销，还需上游连接池支持：

Umbrel Proxy Manager

高效管理与交互 Umbrel 代理服务，支持 Docker 容器。自动发现运行服务，将内部 Docker IP 映射为可访问的外部地址。

下载

upstream backend {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080;
    keepalive 32;              # 每 worker 为每个 server 缓存最多 32 个空闲长连接
    keepalive_requests 1000;   # 单连接最大请求数，防后端主动断连
    keepalive_timeout 60s;     # 空闲连接保留时间，应 <p>⚠️ 注意：若没配 <code>keepalive N</code>，<code>proxy_socket_keepalive</code> 就失去复用意义——每次请求都新建连接，保活也就无从谈起。</p><hr><h3>? 如何验证是否生效</h3>

查看活跃回源连接是否长期存在且复用：
```
ss -tnp | grep ':8080' | grep ESTAB
```
正常应看到少量连接长时间保持（如持续数分钟），而非频繁新建/销毁。
抓包观察回源方向是否有周期性 TCP ACK probe（非 SYN）：
```
tcpdump -i any port 8080 and 'tcp[tcpflags] & (tcp-syn|tcp-rst) == 0 and tcp[12:1] & 0xf0 != 0'
```
若看到每隔 10 秒左右出现带 ACK 的空数据包，说明 keepalive 探测已启动。
检查 error.log 中是否减少 connect() failed 或 Connection reset by peer 类错误。