要限制单个Server维度的最大总连接数，需在http块顶层定义limit_conn_zone "" zone=server_total:10m，再在对应server块中配置limit_conn server_total 600；该方案统一计数所有入站TCP连接，不区分客户端，适用于反向代理场景下的资源公平分配。
要限制单个 Server 维度的最大总连接数，核心是让 Nginx 对该虚拟主机（即整个 server 块）所有入站 TCP 连接统一计数并设硬上限，不区分客户端来源。这在反向代理场景中尤其关键——可防止某个后端服务（如 API 或静态资源集群）被单一域名流量打满，从而保障多业务共存时的资源公平分配。
在 http 块中定义全局连接计数区域
必须放在 http{} 块顶层，不能嵌套在 server 或 location 内：
- 推荐写法：
limit_conn_zone "" zone=server_total:10m;—— 空字符串作为 key，所有命中该 server 的连接都计入同一桶，最稳妥，避免泛域名或多个server_name导致意外分桶 - 替代写法：
limit_conn_zone $server_name zone=per_server:10m;—— 若每个server块只配一个明确域名（如api.example.com），也可用此方式，语义更清晰，但需确保$server_name唯一且不可被绕过 -
zone=server_total:10m表示分配 10MB 共享内存，在 64 位系统中约支持 16 万个连接状态，远超常规反代场景需求 - 切勿使用
$host或$http_host，它们可被客户端伪造，存在安全风险
在目标 server 块中启用硬性上限
把 limit_conn 指令放在具体 server{} 块内，绑定上一步定义的 zone：
- 例如：
limit_conn server_total 600;表示该 server 最多维持 600 个并发 TCP 连接 - 所有流量均计入：HTTP/1.1 请求、HTTP/2 多路复用连接（整条连接计为 1）、keepalive 空闲连接、健康检查探针、静态资源回源请求等
- 超过立即拒绝新连接，不排队、不缓冲；已建立连接不受影响
- 若需叠加单 IP 防护（防止单个恶意 IP 占满全部配额），可额外定义
per_ipzone 并在同一server中添加：limit_conn per_ip 15;
增强反代场景下的可观测性与稳定性
仅设上限易导致“静默失败”，加几行配置能显著提升问题定位效率和下游兼容性：
-
limit_conn_log_level error;—— 将限流触发日志升为error级，避免被大量warn日志淹没，便于监控告警识别 -
limit_conn_status 429;—— 返回标准429 Too Many Requests，语义明确，API 网关、前端重试逻辑、APM 工具可自动识别为限流而非服务崩溃 -
keepalive_timeout 15;—— 缩短空闲 keepalive 连接生命周期，避免长连接长期滞留占用配额，尤其对反代后端 HTTP/1.1 服务更友好 - 若后端是高延迟服务，建议同步检查
proxy_read_timeout和proxy_send_timeout，防止连接因后端慢而卡死，变相耗尽配额
反向代理部署注意事项
实际配置中几个关键点容易出错，直接影响限流效果：
-
limit_conn_zone必须在http{}块，limit_conn必须在server{}块——两者缺一不可 - 不要混淆
limit_conn和limit_req：limit_conn控制连接数，粒度粗、开销低，适合反代入口兜底；limit_req控制请求速率，适合路径级精细化防护（如/login接口） - HTTP/2 下一个连接承载多个请求，此时总连接限制仍是有效兜底手段，但无法替代请求级限流
- 若前端有 CDN、WAF 或多层 Nginx 反代，需确认
$server_name或空字符串 key 仍能准确匹配目标虚拟主机，必要时配合map构造自定义 key
