多级网关中Nginx连接限流需分层实施：入口层按真实IP限流，中间层限上游并发，出口层控响应带宽，并保障PROXY protocol与IP透传一致性，结合监控告警实现容量对齐。
在多级网关环境中（如：LVS → Nginx API 网关 → OpenResty 边缘网关 → 微服务），Nginx 的连接数限制不能只看单机 worker_connections，因为真实客户端连接可能被前置设备终止、复用或透传，直接统计 $binary_remote_addr 会失真。关键在于明确“谁是连接发起者”和“在哪一级做限流”，再分层协同控制。
明确连接归属层级
多级网关下，连接生命周期常被拆分：
- LVS/SLB 层：通常做四层负载，对后端 Nginx 建立的是长连接池（源 IP 是 LVS 内网地址），不暴露真实客户端 IP
- 首层 Nginx（接入网关）：若开启
proxy_protocol或从X-Forwarded-For解析真实 IP，可基于此限流；但连接数统计仍应以它与 LVS 的 TCP 连接为准 - 次层 Nginx（业务网关）：通常接收来自首层的转发请求，其
worker_connections面向的是上游 Nginx，不是终端用户；此时并发连接数反映的是内部调用压力，而非外部连接规模
连接数统计与限制的分层策略
不要统一用一个指标衡量所有层级，应按角色分工：
-
入口层（LVS + 首层 Nginx）：重点控“入向连接总数”。通过
limit_conn_zone $remote_addr zone=ip_conn:10m;+limit_conn ip_conn 100;限制单个真实 IP 并发连接数；同时调大系统net.core.somaxconn和 Nginxworker_connections，确保能承载 LVS 转发来的连接洪峰 -
中间层（次层 Nginx / OpenResty）：重点控“上游调用并发”。用
limit_conn_zone $upstream_addr zone=upstream_conn:10m;限制对每个后端服务实例的并发连接数，防雪崩 -
出口层（服务侧 Nginx）：若反向代理到本地微服务，可用
limit_rate控制单连接响应带宽，避免大响应体阻塞 worker
真实 IP 传递与一致性校验
跨网关时，连接统计失准往往源于 IP 伪造或丢失。必须保障：
- 前置 LVS 启用 PROXY protocol，并在首层 Nginx 的
listen指令中加proxy_protocol；Nginx 配置set_real_ip_from和real_ip_header proxy_protocol - 各层 Nginx 均启用
underscores_in_headers on;，允许透传自定义标头如X-Real-IP或X-Request-ID - 限流 key 若依赖用户标识（如
$http_x_api_key），需确保该 header 在每跳都可信传递，建议配合 JWT 或签名验证
监控与容量对齐
仅配置不够，要让连接数限制真正有效，需打通监控：
- 用
stub_status模块暴露Active connections、accepts、handled等指标，按网关层级分别采集 - Prometheus 抓取时区分 job=
nginx-ingress、job=nginx-edge，避免聚合混淆 - 设置告警：当某层
Active connections / worker_connections > 0.8且持续 2 分钟，触发扩容或熔断检查
