Nginx安全WebSocket代理需四层防护：限连（limit_conn）、控时（proxy_read_timeout等）、TLS加固（TLSv1.2+、OCSP）、访问审计（map+429拦截+日志）。

要在 Nginx 中配置安全的 WebSocket 代理并有效防范拒绝服务（DoS）攻击，不能只靠基础的 proxy_pass 和升级头透传。关键在于：**限制连接行为、控制资源占用、切断异常长连接、叠加访问防护层**。下面从四个实用角度展开说明。

限制单 IP 并发连接数

恶意客户端可能建立大量空闲或低频 WebSocket 连接，耗尽后端连接池或 Nginx 工作进程资源。使用 limit_conn 指令可强制约束：

• 在 http 块中定义连接限制区域：
  limit_conn_zone $binary_remote_addr zone=ws_perip:10m;
• 在 WebSocket 的 location 块中启用限制：
  limit_conn ws_perip 20;（单 IP 最多 20 个并发连接）
• 配合 limit_req 控制握手请求频率（防扫描式连接洪泛）：
  limit_req zone=ws_handshake burst=5 nodelay;

设置合理超时与禁用缓冲

默认超时（60 秒）对 WebSocket 极其危险——攻击者可维持大量半开连接，长期占位不发数据。必须显式延长读写超时，并关闭无意义的缓冲：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• proxy_read_timeout 86400;（24 小时，按业务实际设，如行情推送可设为 3600）
• proxy_send_timeout 86400;（同上，避免因心跳间隔误断）
• proxy_connect_timeout 10;（握手建连失败快速释放）
• proxy_buffering off;（禁用响应缓冲，防止大消息堆积内存）
• proxy_buffer_size 16k; 和 proxy_busy_buffers_size 32k;（显式控制缓冲上限）

启用 TLS 层防护与协议加固

WSS 不仅是加密，更是 DoS 防护的第一道屏障。Nginx 可在 SSL 握手阶段过滤低质量连接：

• 强制 TLS 1.2+，禁用弱协议：
  ssl_protocols TLSv1.2 TLSv1.3;
• 启用会话复用减少 CPU 开销：
  ssl_session_cache shared:SSL:10m; ssl_session_timeout 4h;
• 开启 OCSP Stapling 加速证书验证：
  ssl_stapling on; ssl_stapling_verify on;
• 搭配 ssl_prefer_server_ciphers on; 防止降级攻击影响稳定性

结合访问控制与日志审计

单纯限流不够，需识别并拦截可疑行为：

• 用 map 指令标记高频 Upgrade 请求的客户端：
  map $http_upgrade $is_ws_attack { default 0; "~*websocket" 1; }，再配合 if ($is_ws_attack) { return 429; } 简单拦截异常 UA
• 记录 WebSocket 握手日志，便于溯源：
  log_format ws_log '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time $upstream_response_time';
• 在 location 块中启用：
  access_log /var/log/nginx/ws-access.log ws_log;
• 配合 fail2ban 或自定义脚本，对 429/400 高频 IP 自动封禁