worker_rlimit_nofile优化关键在于三层打通：先设systemd LimitNOFILE和limits.conf用户级限制，再在nginx.conf main上下文配置≤硬限制的值（如65536），并使worker_connections不超过其70%～80%（如52428），最后通过/proc/PID/limits验证soft/hard值生效。
优化 worker_rlimit_nofile 防止因系统文件描述符不足导致连接瘫痪，关键不是“调大就完事”，而是让 Nginx worker 进程真正拿到足够且稳定的 fd 资源。硬性拦截（如 setrlimit(RLIMIT_NOFILE) failed (1: Operation not permitted) 或 accept() failed (24: Too many open files)）本质是进程启动时被系统掐断，或运行中耗尽上限——必须从用户级、进程级、内核级三层打通。
确认真实瓶颈在哪
别猜，直接查运行中的 worker 进程限制：
- 找一个 worker PID：
ps -eo pid,comm | grep nginx | grep -v master | head -1 - 看它实际能开多少文件：
cat /proc/<pid>/limits | grep "Max open files"</pid> - 对比输出的 soft/hard 值与你配置的
worker_rlimit_nofile——若 soft 明显偏低（比如还是 1024），说明系统限制没生效，不是 Nginx 配置问题 - 同时检查错误日志是否频繁出现
Too many open files或Operation not permitted，这是硬拦截的明确信号
三步落地：让限制真正生效
缺一不可，顺序不能错：
-
设 systemd 服务级限制：编辑
/etc/systemd/system/nginx.service.d/override.conf（没有就新建），写入：[Service]<br>LimitNOFILE=65536
-
设用户级硬软限制：在
/etc/security/limits.conf中为 nginx 用户添加：nginx soft nofile 65536<br>nginx hard nofile 65536
-
配 Nginx 主配置：在
nginx.conf最顶部（events块之前、http块之外）写：worker_rlimit_nofile 65536;
注意：该值必须 ≤ 上述 hard limit，否则启动即失败
合理设置 worker_connections 避免挤占
worker_connections 是业务连接数，但每个连接背后还有上游 socket、访问日志、临时文件等隐式 fd 开销。硬设满额会很快触顶：
- 推荐
worker_connections不超过worker_rlimit_nofile的 70%～80% - 例如
worker_rlimit_nofile 65536，则worker_connections设52428更稳妥 - 反向代理场景要更保守——每个客户端连接 + 每个 upstream 连接各占至少 1 个 fd，双倍消耗下建议压到 60%
配套验证与持续监控
重启后不能只信配置文件，得盯运行态：
- 执行
systemctl daemon-reload && systemctl restart nginx - 再次查
/proc/<pid>/limits</pid>，确保 soft 和 hard 都达到目标值 - 启用
stub_status模块，用active connections对比worker_connections实际使用率 - 定期看内核句柄使用情况：
cat /proc/sys/fs/file-nr，中间值接近fs.file-max就要预警
