Nginx 的 limit_conn_zone 不能直接限制 upstream 单个后端节点并发数，仅能限制客户端到 Nginx 的连接数；需通过 map 映射、Lua 模块或后端自身限流等间接方式实现。
在 Nginx 中，limit_conn_zone 本身**不能直接限制 upstream 中单个后端节点的并发连接数**，它只能限制客户端（如 IP）到 Nginx 的连接数。要控制发往某个 upstream server 的并发请求数，需结合其他机制实现，核心思路是：**将“对某 backend 的并发限制”转化为“对能路由到该 backend 的请求的限制”**。
理解 limit_conn_zone 的作用范围
limit_conn_zone 定义的是基于变量（如 $binary_remote_addr、$server_name）的共享内存区域，用于统计并限制该变量值对应的**进入 Nginx worker 进程的连接总数**。它发生在 Nginx 接收请求阶段（HTTP 请求建立时），不感知 upstream 路由逻辑，也不控制 proxy_pass 发起的后端连接。
例如：
limit_conn_zone $binary_remote_addr zone=perip:10m;
这限制的是每个客户端 IP 同时最多建立多少个到 Nginx 的 TCP 连接（即并发请求数），与后端服务器无关。
间接限制单个 upstream server 并发的常用方法
虽然不能直接限 backend，并可通过以下方式达成类似效果：
-
按 upstream server 标识定义 limit_conn_zone：利用
map指令，根据负载均衡结果（如使用hash或ip_hash时可预判目标 server）构造一个代表后端节点的变量，再对此变量做连接限制。但注意：Nginx 默认不暴露当前选中的 upstream server 变量，需配合自定义逻辑或模块（如nginx-upstream-module）才能获取；常规配置中较难稳定实现。 -
用 limit_rate + keepalive 控制整体压力：在 upstream 块中启用
keepalive，并配合proxy_buffering off和limit_rate控制响应流速，间接降低后端瞬时压力，但这不是严格的“并发数限制”。 - 借助第三方模块（推荐）：使用 nginx_upstream_check_module 或更现代的 lua-resty-upstream-healthcheck 配合 OpenResty 的 Lua 脚本，在 rewrite 或 balancer_by_lua_block 阶段动态统计各 backend 当前活跃连接数，并拒绝超额请求。
-
在 upstream server 侧限流（最可靠）：让后端服务自身控制最大并发处理数（如 Spring Boot 的
server.tomcat.max-connections、Go 的http.Server.MaxConns），或前置一层轻量限流代理（如 Envoy、Linkerd）。这是语义最清晰、控制最精准的方式。
一个可行的 map + limit_conn 实践示例（有限适用）
若你使用 ip_hash 或固定 hash $remote_addr，且 backend 数量固定（如 3 台），可手动映射请求到 server ID：
map $remote_addr $backend_id {
default "0";
~^192\.168\.1\.10 "1";
~^192\.168\.1\.11 "2";
~^192\.168\.1\.12 "3";
}
limit_conn_zone $backend_id zone=by_backend:1m;
upstream backend_cluster {
server 10.0.0.1:8080;
server 10.0.0.2:8080;
server 10.0.0.3:8080;
}
server {
location / {
limit_conn by_backend 10; # 每个 backend_id 最多 10 并发
proxy_pass http://backend_cluster;
}
}⚠️ 注意：此方式依赖静态映射，无法适配动态扩容、健康检查剔除或加权轮询等场景，仅适合极简固定拓扑。
更实用的替代方案：limit_req_zone + burst 控制请求速率
若目标是防止单个 backend 被突发流量打垮，limit_req_zone 更常用且有效：
limit_req_zone $upstream_addr zone=backend_req:10m rate=100r/s;
server {
location / {
limit_req zone=backend_req burst=50 nodelay;
proxy_pass http://backend_cluster;
}
}这里 $upstream_addr 在 proxy_pass 执行后才解析，**Nginx 官方文档明确说明该变量不可用于 limit_req_zone**（会报错或取空值）。因此实际要用，需改用 map 提前模拟（同上），或升级到支持 balancer_by_lua_block 的 OpenResty，用 Lua 获取真实 upstream 地址后再限流。
