Nginx配置WebSocket及WSS反向代理详解

Nginx在现代后端架构中承担着反向代理与网关的核心角色，尤其在处理WebSocket长连接与HTTPS加密通信（WSS）时，其配置质量直接影响系统稳定性与实时通信能力。由于WebSocket不同于传统HTTP请求，它依赖持续连接与双向通信机制，因此在Nginx中需要额外处理Upgrade头与连接保持策略，否则容易出现连接中断或握手失败问题。

一、WebSocket与WSS的通信机制差异

WebSocket基于HTTP升级协议，通过一次握手后升级为长连接，而WSS则是在TLS加密通道中的WebSocket通信方式。二者本质相同，只是传输层多了一层安全加密。

在Nginx反向代理中，如果未正确处理Upgrade头部信息，客户端请求会停留在HTTP阶段，无法完成协议切换。

二、基础WebSocket反向代理配置

最常见的WebSocket代理场景是将客户端请求转发到后端Node.js或Java服务。

核心配置如下：

Nginx
location /ws/ {
    proxy_pass http://backend_server;

    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "Upgrade";

    proxy_set_header Host $host;
    proxy_read_timeout 3600;
}

关键点在于：

• proxy_http_version必须为1.1

• Upgrade头必须透传

• Connection必须设置为Upgrade

• timeout需要足够长以避免断开长连接

三、支持WSS的HTTPS反向代理配置

当系统启用HTTPS时，WebSocket必须升级为WSS协议，此时需要在Nginx中配置SSL证书与安全监听端口。

Nginx
server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /etc/nginx/cert/fullchain.pem;
    ssl_certificate_key /etc/nginx/cert/privkey.pem;

    location /ws/ {
        proxy_pass http://backend_server;

        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "Upgrade";

        proxy_set_header Host $host;
        proxy_read_timeout 3600;
    }
}

WSS本质仍然是WebSocket，只是前端协议由ws://升级为wss://，因此SSL配置是关键前提。

四、优化WebSocket长连接稳定性

在高并发或长连接场景中，Nginx默认配置可能导致连接频繁断开，需要针对性优化。

1. 调整超时参数

Nginx
proxy_read_timeout 86400;
proxy_send_timeout 86400;

2. 禁用缓冲提升实时性

Nginx
proxy_buffering off;

3. 保持连接头部

Nginx
proxy_set_header Connection "";

某些场景下清空Connection头可以避免异常升级冲突。

五、常见错误与排查思路

1. 连接不断开但无法通信

通常是Upgrade头未正确传递，导致协议未升级成功。

2. 400/502错误频繁出现

多与后端服务未监听正确端口或Nginx代理路径错误有关。

3. WSS握手失败

SSL证书不匹配或域名与证书SAN不一致是常见原因。

六、多后端负载均衡WebSocket方案

在多实例部署中，可以结合upstream模块实现负载均衡：

Nginx
upstream websocket_backend {
    server 10.0.0.1:8080;
    server 10.0.0.2:8080;
}

location /ws/ {
    proxy_pass http://websocket_backend;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "Upgrade";
}

需要注意的是，WebSocket连接是长连接，一旦建立不会切换后端节点，因此负载均衡只在首次连接生效。

七、安全加固建议

在生产环境中，WebSocket与WSS配置不仅要考虑性能，还要关注安全性。

建议措施包括：

• 强制使用WSS替代WS

• 限制连接频率防止DDoS

• 配置访问控制白名单

• 使用短路径隐藏WebSocket接口入口

八、实践总结

WebSocket与WSS在Nginx中的配置核心集中在Upgrade头处理与长连接优化，而SSL配置则决定了安全通信能力。在实际项目中，只要掌握协议升级机制与超时策略，就能稳定支撑实时聊天、推送通知、在线协作等高并发场景。