TCP代理不提供“僵尸通道”，所谓“不活跃僵尸通道”是客户端异常断开后服务端未关闭的空闲socket连接；需分层配置IdleTimeout、Read/WriteTimeout和TCP Keep-Alive三类超时机制协同清理。
TCP代理本身不提供“僵尸通道”这个概念，它只处理底层TCP连接。所谓“不活跃僵尸通道”，本质是客户端异常断开后，服务端仍维持着未关闭的socket连接——这些连接空闲、无读写、不发FIN，却持续占用文件描述符、内存和连接数。真正起效的不是某个叫timeout的万能开关，而是分层配合的超时机制。
关键：区分三类超时，各司其职
很多用户误以为设一个timeout就能一劳永逸，实际需明确：
- IdleTimeout（空闲超时）：控制连接建立后，没有任何读或写操作的最大等待时间。这是清理“纯空闲连接”的核心——比如客户端建连后不发请求，或响应发完就挂起不再交互。Go http.Server、Nginx keepalive_timeout、Redis timeout 都属此类。
- Read/WriteTimeout（读写超时）：限制单次读请求头/体、或单次写响应体的总耗时。用于防慢速攻击（如Slowloris），但不处理空闲状态。
- TCP Keep-Alive（内核级探测）：由操作系统在TCP层周期性发送ACK探测包。它不依赖应用层逻辑，能在客户端硬断电、网络中断等场景下最终触发连接关闭，但默认周期长（Linux通常2小时），需手动调短才实用。
主流TCP代理的典型配置方式
不同代理对超时的支持粒度不同，需按实际组件调整：
- Redis：用timeout参数（单位秒），仅对空闲连接生效。设为30表示30秒无命令即断开。注意：默认为0（永不超时），必须显式配置。
- Nginx（作为TCP代理时，需stream模块）：使用proxy_timeout（如proxy_timeout 30s）、tcp_nodelay on，并开启tcp_keepalive on。同时建议配reset_timedout_connection on，让超时后发RST而非等FIN，加速资源释放。
- Go net.Listener + 自定义代理：Accept后立即对*net.TCPConn调用SetKeepAlive(true)和SetKeepAlivePeriod(45 * time.Second)；再结合conn.SetReadDeadline()和conn.SetWriteDeadline()做应用层空闲控制。
光靠timeout不够，还得堵住泄漏源头
即使超时设得合理，若上游服务或客户端行为异常，仍可能快速堆积连接：
- 检查是否有客户端建连后长期不发数据（SYN完成但无HTTP请求），这类连接不受ReadTimeout管，只能靠IdleTimeout或TCP Keep-Alive发现。
- 确认代理后端（如upstream服务）是否及时关闭连接。若后端hang住或忽略client abort，代理连接会卡在CLOSE_WAIT，此时改代理timeout无效，得调后端超时（如proxy_read_timeout）。
- 监控手段要跟上：用ss -tan state established | wc -l看活跃连接数，用ss -tan state time-wait | wc -l看TIME_WAIT是否异常高，用lsof -i :port定位具体进程的fd占用。
系统级辅助调优（Linux）
当连接量极大时，内核参数能提升回收效率：
- 启用端口复用：net.ipv4.tcp_tw_reuse = 1（配合net.ipv4.tcp_timestamps = 1）
- 缩短TIME_WAIT保持时间：net.ipv4.tcp_fin_timeout = 30（仅对主动关闭方有效）
- 加快TCP保活探测：net.ipv4.tcp_keepalive_time = 600 → 可降至300，net.ipv4.tcp_keepalive_intvl = 30
