Nginx 高级调优实战：WebSocket、HTTP/2/3 与高并发把入口拉满

把一堆自托管服务挂到 Nginx 反代后，动态场景会暴露它"默认配置够用但不够好"的一面：WebSocket 聊天/实时通知连不上、HTTP 大文件/长连接吞吐上不去、静态资源还要再快一点。这些要靠 Nginx 的高级调优：WebSocket 长连接代理、HTTP/2 与 HTTP/3、连接与性能内核参数、动态与静态分流。这篇讲清这些高级特性解决什么、怎么配 WebSocket 与 HTTP/2/3、性能调优的关键参数，以及常见坑与边界。

一、Nginx 高级特性解决什么：让长连接、全链路加密、多类型请求都跑顺

基础反代处理"常规 HTTP 请求"够用，但自托管一旦有实时/长连接/加密升级的需求，默认配置就不够：WebSocket 需要"升级协议 + 长连接"的支持、HTTPS 想更高效要用 HTTP/2 多路复用与 HTTP/3（QUIC）、不同类型请求（动态 API / 静态资源 / 长轮询）要分流与缓存。Nginx 的高级调优就是把这些"连接与传输层"的细节配置好，让网站不只"能开"，而是"连得稳、传得快、压得住"。这层优化对"反代一堆子服务"的自托管尤其关键——它是所有子服务共用的入口，入口的好坏影响全局体验。

和前面聊的"反代 TLS/缓存"基础配置相比，本篇聚焦更进阶的"连接生命周期与协议"：WebSocket 代理要关缓冲、调长超时；HTTP/2/3 靠监听协议与 TLS 配置引出；性能靠 worker、连接数、缓存、内核参数协同。把"协议层 + 连接层"吃透，Nginx 才能从"能反代"走向"反代得又快又稳"。

二、WebSocket 反向代理：升级协议、关缓冲、调长超时

WebSocket 与普通 HTTP 的区别是"一次握手升级后保持长双向连接"。反代它要满足几点：正确传 `Upgrade`/`Connection` 头让上游完成握手；`proxy_http_version 1.1`（否则默认 1.0 无长连接）；关闭缓冲（proxy_buffering off）让数据即时推给客户端（实时通知不等攒批）；调长 read/send 超时（websocket 空闲可超过默认 60s，否则超时断开）。配置好这几点，聊天、实时通知、在线协作这类 WebSocket 服务才能稳定挂在 Nginx 后面。

# WebSocket 反代关键配置
location /ws/ {
  proxy_pass http://backend;
  proxy_http_version 1.1;
  proxy_set_header Upgrade $http_upgrade;
  proxy_set_header Connection "upgrade";
  proxy_buffering off;              # 实时数据即时转发，不攒批
  proxy_read_timeout 3600s;         # WebSocket 空闲连接调长，防中途断
  proxy_send_timeout 3600s;
}
# 注意只对 /ws/ 这类路径开 off，别全站关缓冲（会影响静态/普通请求性能）

这个配置最常见的坑是"忘了 Connection: upgrade 头"或"超时太短"：头没传对后端握手失败（页面连不上但没报错），超时太短则"用着用着自动断线"。另一个易错点是"只给特定 location 开 WebSocket，别全站 proxy_buffering off"（那会影响普通请求的缓存与性能）。把它限定在 /ws/ 这类路径更稳妥。

三、HTTP/2 与 HTTP/3：多路复用与 QUIC 把全链路加密做快

HTTP/1.1 是"一个连接一个请求"，打开含几十个资源的页面要排队建立多个连接、慢且开销大。HTTP/2 用多路复用（一个连接并发多个请求）、头压缩、二进制帧，显著减少延迟、提升并发；它要求 TLS（HTTPS）。HTTP/3 基于 QUIC（UDP），在弱网/移动网络下更抗丢包、连接迁移更顺，进一步降低首屏延迟。配置上，Nginx 开 `listen 443 ssl http2` 即启用 HTTP/2；HTTP/3 需额外开 UDP 监听与 QUIC 相关指令（新版 Nginx/OpenResty 支持）。启用前先确认上游/客户端兼容，HTTP/2 对老客户端有回退到 1.1。

# 同时监听 443 的 TCP(http2) 与 UDP(quic/http3) 示意
server {
  listen 443 ssl http2;                # TCP + HTTP/2
  listen 443 quic reuseport;           # UDP + HTTP/3 (QUIC)
  http2 on;
  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_prefer_server_ciphers off;
  add_header Alt-Svc 'h3=":443"; ma=86400';
  # 证书用前面聊的 ACME 通配符证书即可；HTTP/3 需 ALPN h3
}

HTTP/2 的坑主要在三处：一是"Upstream 也要支持"——Nginx 反代到上游时也常把 http 版本设为 1.1 用 keepalive；二是"HTTP/2 头压缩/最大并发流"若调得过窄会让并发受限；三是"部分老客户端/工具只支持 1.1"需回退兜底。HTTP/3 目前客户端支持渐广但仍非全部，配置时应保证"不支持 QUIC 的自动走 http2/1.1"，别只开 UDP 就把 TCP 关了。

四、性能调优：worker、连接数、缓存与内核参数

连接与协议之外，Nginx 性能还取决于"进程与连接模型 + 内核参数"。关键项：worker_processes 设为核心数（auto）、worker_connections 提高（每个 worker 能容纳的连接）、keepalive 让客户端与上游连接复用（upstream keepalive 减少每次建连开销）、以及针对高并发的内核参数（如文件描述符上限、TIME_WAIT socket 复用）。对"反代一堆子服务"的高并发入口，把"连接复用 + 连接数上限 + 文件句柄"配合调好，吞吐会有量级提升。

# nginx.conf 里的连接/性能相关项
worker_processes auto;              # 随核数自动
events {
  worker_connections 40960;         # 单个 worker 连接数调高
  multi_accept on;                 # 一次 accept 多个
}
http {
  keepalive_timeout 65;
  keepalive_requests 1000;          # 一个连接可复用多次请求
  upstream backend {
    server 127.0.0.1:3000;
    keepalive 32;                  # 上游 keepalive：减少建连开销
  }
}

性能调优的坑是"只调软件忘了内核"：高并发常被 `ulimit`（文件描述符）、`somaxconn`、TCP 相关 sysctl 卡住，光调 Nginx 参数不调内核等于白调；以及"调过头"——worker_connections 调得比系统能扛的还大，反而内存/上下文切换恶化。原则是"逐步上调 + 压测验证"，用前面的压测手段对比"调之前/之后的吞吐与延迟"，不拍脑袋堆数字。

五、常见坑与边界：只调入口、忽略上游、过度选型

Nginx 高级调优四个坑要尤其防。一是"只调入口不管上游"：WebSocket/HTTP2/性能最终要看上游（应用服务）能否扛住长连接与并发，Nginx 调得再大，上游单进程处理不过来仍会瓶颈——先确认瓶颈在入口还是业务。二是"忽略内核与系统上限"：文件句柄、连接表、sysctl 是更高层的天花板，调软件参数先验系统容量。三是"过度堆参数"：高并发是好事但别为"炫技"把缓存/缓冲/超时堆得很大，那会占用内存、掩盖真实问题——调优要"贴近真实流量、量出证据"。四是"升级与兼容"：HTTP/3 依赖新内核/新 Nginx 特性，老系统可能不支持，启用前确认版本与依赖，别因一个功能升级整个栈。

# 调优验证思路（配合压测看真实收益）
nginx -t                       # 配置语法校验
nginx -s reload                # 平滑重载
# 用 hey/wrk 对比调优前后：hey -n 50000 -c 500 https://你的域/
#   看 Requests/sec 是否上升、P95 延迟是否下降

把它当排障 SOP：先"nginx -t 校验语法"，再"reload 生效"，后用压测"量化收益"，再逐层查"worker/连接/内核/上游"哪里是瓶颈。Nginx 调优是"入口的最后一公里"，它的前提是"上游扛得住、系统资源够、参数贴合真实流量"。

把 Nginx 高级调优放回自托管整体：它把"共用入口"从默认配置优化为"长连接稳、加密快、并发高"，是所有子服务体验的公共增益。落地要点：WebSocket 走特定 location 配 Upgrade 头 + 关缓冲 + 长超时；用 HTTP/2（多路复用）并视需要上 HTTP/3（QUIC），同时保留回退；把 worker/keepalive/连接数与文件句柄、sysctl 配合调高并压测验证；防住只调入口不管上游、忽略内核上限、过度堆参数、升级兼容四坑。认清这层优化的是"连接与传输"，改变不了业务本身——地基好了，剩下的是把上面的服务各自拉满。

结语

Nginx 高级调优的价值，是把自托管共用的反代入口从"默认够用"优化为"WebSocket 长连接稳、HTTP/2/3 加密快、并发吞吐高"。落地要点：WebSocket 用特定 location 配 Upgrade/Connection 头、proxy_buffering off、读写超时调长；用 HTTP/2 多路复用并视需要上 HTTP/3（QUIC），保留到 1.1 的回退；把 worker_connections、keepalive、上游 keepalive 配合文件句柄与 sysctl 调高，并用压测验证收益；防住只调入口不管上游、忽略内核上限、过度堆参数、升级兼容四坑，并认清这层管"连接与传输"、不改变业务本身。当入口把长连接与高并发稳稳撑起，自托管的一堆子服务才能在共用这个入口的同时，各享快速、稳定的体验。