proxy_socket_keepalive 仅保活 Nginx 与上游服务器间 TCP 连接，不作用于客户端到 Nginx 段；断连常因防火墙静默中断客户端连接、client_header_timeout 触发、或 upstream 未正确配置该指令及配套参数所致。
proxy_socket_keepalive 开启后为什么连接还是断了
因为 proxy_socket_keepalive 控制的是 Nginx 与上游服务器之间的 TCP 连接保活，不是客户端到 Nginx 的连接；物理防火墙静默断开的通常是「客户端 ↔ Nginx」这一段，这段不受该指令影响。它只对 proxy_pass 发起的下游连接生效，且需上游服务明确支持 TCP keepalive 响应。
常见误判场景：
- 看到日志里有
"upstream prematurely closed connection"就以为是这个参数没设好，其实更可能是客户端空闲超时被中间设备切断 - 在
location块里配了proxy_socket_keepalive on，但 upstream 块没配，实际不生效（该指令只在upstream或server上游上下文中有效） - 用了
on却没调优底层内核参数，Linux 默认tcp_keepalive_time=7200（2小时），远大于多数防火墙的 5–30 分钟超时窗口
如何正确配置 proxy_socket_keepalive 参数组合
单写 on 不够，必须配合显式时间参数才能匹配防火墙行为。典型值参考：防火墙超时 15 分钟 → keepalive 探测间隔设为 450 秒以内，确保至少触发 2 次探测。
推荐 upstream 配置片段：
upstream backend {
server 10.0.1.100:8080;
proxy_socket_keepalive on;
# 注意：这三个参数必须同时出现才生效（Nginx ≥ 1.15.3）
proxy_socket_keepalive_timeout 60s;
proxy_socket_keepalive_probes 3;
proxy_socket_keepalive_interval 45s;
}说明：
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
-
proxy_socket_keepalive_timeout：首次探测前等待空闲时间（默认 30s，建议 ≤ 防火墙半超时） -
proxy_socket_keepalive_interval：两次探测间隔（必须小于防火墙超时，否则无意义） -
proxy_socket_keepalive_probes：失联前重试次数（设为 3 可容忍 1–2 次丢包）
验证 keepalive 是否真正生效
不能只看 Nginx 日志或配置语法检查，要抓包确认 TCP 层是否有 ACK + KEEPALIVE 流量。
实操步骤：
- 在 Nginx 服务器上运行：
tcpdump -i any 'host 10.0.1.100 and tcp[tcpflags] & (tcp-ack|tcp-push) != 0'（替换为真实 upstream IP） - 让请求空闲超过
proxy_socket_keepalive_timeout，观察是否出现周期性小包（长度=52 字节，含 TCP keepalive 标志） - 若无包，检查：
sysctl net.ipv4.tcp_keepalive_time是否过大（建议设为 600）、nginx -t是否提示该指令不支持（旧版 Nginx 需 ≥ 1.15.3）
比 proxy_socket_keepalive 更关键的其实是 client_header_timeout
绝大多数“被防火墙断开”的真实原因，是客户端连接在等待请求头时就超时了——此时连接甚至还没走到 upstream 阶段，proxy_socket_keepalive 根本不参与。
必须同步加固客户端入口侧：
- 在
http或server块中设置：client_header_timeout 60s;（默认 60s，但某些云 WAF 后可能需调至 90s） - 搭配
client_body_timeout 60s;和send_timeout 60s;，避免响应慢导致连接滞留 - 如果用的是 TLS，确认
ssl_session_timeout≥ 客户端最大空闲预期（如设为 4h），否则 TLS 握手层先断
真正顽固的静默断连，往往卡在这几秒的 header 等待上，而不是 upstream 长连接本身。
