proxy_socket_keepalive需与upstream keepalive池、proxy_http_version 1.1、proxy_set_header Connection ""四项协同生效，缺一不可；并须调优idle/interval/probes参数略小于防火墙超时，同时调整系统tcp_keepalive_time/intvl/probes确保内核响应。
要解决跨公网 TCP 代理中因中间设备（如防火墙、NAT 网关、云负载均衡）静默关闭空闲连接导致的掉线问题，核心是让 Nginx 主动探测 upstream 连接是否真实存活，而不是等请求发出后才暴露 Connection reset by peer 或超时错误。proxy_socket_keepalive 就是为此设计的 TCP 层保活机制，但它必须与其他三项配置协同工作才能真正生效。
必须同时启用的四项基础配置
单独开启 proxy_socket_keepalive 不起作用。以下四点缺一不可：
-
upstream 块中启用连接池：添加
keepalive 32;（数值建议为后端实例数 × 并发均值，常见 32–128），否则 Nginx 不会复用连接，保活也就失去意义 -
location 或 server 块中声明 HTTP/1.1：使用
proxy_http_version 1.1;，确保后端接受持久连接 -
清除 Connection 头：设置
proxy_set_header Connection "";，防止 Nginx 自动注入Connection: close导致后端立即断连 -
显式开启并调优 proxy_socket_keepalive：不能只写
on，需结合网络环境定制参数，例如proxy_socket_keepalive on 240s 10s 3;
针对跨公网链路调优 keepalive 参数
公网链路中的防火墙或云 LB 普遍采用较短的空闲超时（常见 300–600 秒）。系统默认的 TCP keepalive（Linux 空闲 7200 秒才探测）完全无效。必须让探测在防火墙切断前触发：
-
idle 时间（首探延迟）：设为防火墙超时值的 70%～80%，例如防火墙是 5 分钟（300 秒），则设
240s；若不确定，可先按300s保守起步 -
interval（探测间隔）：建议 5–15 秒，太长易错过窗口，太短增加内核负担；
10s是多数场景的平衡点 -
probes（失败重试次数）：设为
3即可，既能容忍偶发丢包，又不会过度等待
完整示例：proxy_socket_keepalive on 300s 10s 3;
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
配合系统级 TCP 参数提升可靠性
Nginx 的 proxy_socket_keepalive 依赖内核 TCP keepalive 行为。若系统参数过于宽松（如默认 7200 秒），即使 Nginx 配置了小 idle，内核也可能不响应。建议同步调整：
- 执行
sysctl -w net.ipv4.tcp_keepalive_time=300（首次探测前空闲时间） - 执行
sysctl -w net.ipv4.tcp_keepalive_intvl=10（探测间隔） - 执行
sysctl -w net.ipv4.tcp_keepalive_probes=3（最大失败次数） - 将上述命令写入
/etc/sysctl.conf永久生效
注意：Nginx ≥ 1.15.3 才完整支持自定义参数；低于该版本仅支持 on/off，且依赖系统默认值。
验证是否真正生效
配置完成后不能只靠语法检查或日志判断。必须抓包确认：
- 在 Nginx 服务器上运行
tcpdump -i any port 8080 -nn -A（替换为 upstream 端口） - 观察是否有周期性出现的纯 ACK 包（TCP keepalive probe）
- 确认其发送时机与你配置的 idle/interval 一致
- 若长时间无数据交互后仍能看到探测包，说明配置已落地
没有探测流量，大概率是某一项前置配置缺失，或 Nginx 版本不支持。
