面對nginx服務拒絕連接問題，應立即采取措施恢復服務并減少損失。1.檢查服務器資源是否打滿；2.臨時擴容，云服務器可升配，物理機可加實例配合負載均衡；3.嘗試平滑重啟nginx；4.啟用限流功能控制流量；5.排查日志、系統及網絡狀態；6.優化配置如調整worker進程數與連接數、keepalive超時時間等；7.結合監控、壓力測試與容量規劃做好預防；8.通過分析流量來源、請求類型、頻率及user-agent判斷是否為惡意攻擊；9.調整worker進程數和連接數能提升并發處理能力，但需結合硬件與業務合理設置；10.還需排查后端服務、網絡、防火墻、系統資源及代碼問題，全面定位原因。
面對突發流量，Nginx服務拒絕連接，最直接的應對就是盡快恢復服務，減少損失。快速排查并臨時擴容是關鍵，同時要記錄問題，以便后續優化。
解決方案
-
快速止血：
-
排查原因：
- Nginx 日志： /var/log/nginx/Error.log 和 /var/log/nginx/access.log 是重點。看看有沒有什么異常，比如 upstream 超時、連接數過多等等。
- 系統日志： /var/log/syslog 或者 /var/log/messages 看看有沒有系統層面的錯誤。
- 網絡連接數： netstat -an | grep :80 | wc -l 和 ss -ant | grep :80 | wc -l 查看當前連接數，是不是超過了 Nginx 的配置。
- TCP 連接狀態： netstat -ant | awk ‘{print $NF}’ | sort | uniq -c | sort -n 看看是不是有大量的 TIME_WaiT 或者 CLOSE_WAIT 連接。
-
優化配置：
- 調整 Nginx worker 進程數： worker_processes auto; 根據 CPU 核心數設置。
- 增加 worker 連接數： worker_connections 65535; 但要確保系統內核參數也允許這么高的連接數。
- 調整 keepalive 超時時間： keepalive_timeout 75s; 減少 TIME_WAIT 連接。
- 開啟 gzip 壓縮： gzip on; 減少帶寬消耗。
- 緩存靜態資源： 利用 Nginx 的緩存功能，減少后端服務器的壓力。
-
預防措施：
- 監控： 完善的監控系統是關鍵，提前發現問題。
- 壓力測試： 定期進行壓力測試，模擬高并發場景，發現瓶頸。
- 容量規劃： 根據業務增長預測，提前做好容量規劃。
如何區分是惡意攻擊還是正常流量突增？
- 流量來源分析： 通過 Nginx 日志或者流量分析工具（比如 grafana + prometheus），看看流量是不是集中在某些 IP 地址或者地區。如果是，很可能是攻擊。
- 請求類型分析： 看看是不是有大量的 POST 請求，或者請求的 URL 都是一些不存在的頁面。
- 請求頻率分析： 如果單個 IP 在短時間內發送大量的請求，很可能是惡意行為。
- User-Agent 分析： 看看 User-Agent 是不是正常的瀏覽器，或者是一些爬蟲工具。
- 結合 WAF： Web 應用防火墻 (WAF) 可以有效防御常見的 Web 攻擊，比如 sql 注入、xss 攻擊等等。
為什么調整 Nginx worker 進程數和連接數可以緩解壓力？
Nginx 是基于事件驅動的架構，worker 進程負責處理客戶端的請求。
- worker 進程數： 增加 worker 進程數，可以充分利用多核 CPU 的性能，并發處理更多的請求。worker_processes auto; 會讓 Nginx 自動根據 CPU 核心數設置 worker 進程數。
- worker 連接數： 每個 worker 進程可以處理多個連接。增加 worker 連接數，可以提高 Nginx 的并發能力。worker_connections 65535; 表示每個 worker 進程最多可以處理 65535 個連接。
但是，增加 worker 進程數和連接數并不是越多越好。過多的 worker 進程會增加系統開銷，過多的連接數可能會導致內存不足。需要根據服務器的硬件配置和業務特點進行調整。
除了 Nginx 配置，還有哪些因素可能導致服務拒絕連接？
- 后端服務器： 如果后端服務器（比如 tomcat、Node.JS）也出現了問題，Nginx 也會受到影響。
- 網絡問題： 網絡延遲、丟包等問題也會導致服務拒絕連接。
- 防火墻： 防火墻可能會阻止某些 IP 地址的訪問。
- 系統資源： CPU、內存、磁盤 I/O 等資源不足也會導致服務拒絕連接。
- 代碼問題： 代碼中的 bug 可能會導致服務崩潰。
所以，排查問題的時候，要從多個方面入手，不能只盯著 Nginx 配置。
