堡垒机代理服务断开连接需排查Proxy组件状态、网络链路、资源负载及配置一致性：检查proxy-service是否运行、端口监听是否正常；验证前端、Core、Proxy间本地网络连通性；分析Proxy日志中的ERROR/WARNING、内存/磁盘资源占用及会话数超限；核对Nginx反向代理配置、WebSocket支持及Token等认证参数是否与Core一致。
堡垒机代理服务（Proxy）断开连接，通常表现为用户无法发起运维会话、会话建立后秒断、或资产列表加载失败等现象。这类问题本质是堡垒机前端（Web/客户端）与后端 Proxy 服务之间通信中断，而非目标服务器本身不可达。排查需聚焦于 Proxy 组件运行状态、网络链路、资源负载及配置一致性。
检查 Proxy 服务进程与端口监听状态
Proxy 是堡垒机内部关键中继组件，负责转发用户会话流量。若其未运行或端口未监听，所有新会话均会失败。
- 登录堡垒机管理后台或跳转至运维控制台，在 实例详情 > 服务状态 页面查看 proxy-service（或类似名称，如 jumpserver-core 中的 koko 组件、阿里云 Bastionhost 的 bastion-proxy）是否处于“运行中”状态
- 若为自建或容器化部署，通过 SSH 登录堡垒机服务器，执行 systemctl status koko（JumpServer）或 docker ps | grep proxy（容器环境），确认进程存活
- 检查 Proxy 默认监听端口（如 JumpServer koko 默认 2222，阿里云 Bastionhost 通常为 60022/63389）是否被占用或未启动：运行 netstat -tuln | grep :2222 或 ss -tuln | grep :60022
验证堡垒机内部网络与 Proxy 通信链路
Web 前端（nginx/gunicorn）、认证中心（Core）、Proxy 三者需互通。任一环节网络不通，都会导致“连接已断开（Code:T_1006）”类错误。
- 在堡垒机服务器本地执行 curl -v http://127.0.0.1:8080/api/v1/terminal/sessions/（以实际 Core API 地址为准），确认 Core 服务可访问
- 测试前端到 Proxy 的连通性：如 Proxy 运行在 127.0.0.1:2222，则从 nginx 配置中查出 upstream 地址，再用 telnet 127.0.0.1 2222 验证端口可达
- 检查防火墙或安全组是否拦截了 localhost 内部通信（如 iptables 规则误封 127.0.0.1/8 网段）
分析 Proxy 日志与资源瓶颈
Proxy 断连常伴随日志报错或资源耗尽，需结合实时日志与系统指标判断。
- 查看 Proxy 日志文件（如 /opt/jumpserver/koko/logs/koko.log 或 /var/log/bastionhost/proxy.log），重点关注 ERROR 或 WARNING 级别记录，例如 “connection refused by core”、“failed to connect to terminal server”、“out of memory”
- 检查系统资源：运行 free -h 和 top -b -n1 | head -20，确认内存是否被 Proxy 进程大量占用；运行 df -h 查看磁盘空间（尤其 /var/log 或 /tmp 分区满会导致日志写入失败进而触发异常退出）
- 确认并发连接数是否超限：部分 Proxy 对单实例最大会话数有限制（如 koko 默认 500），可通过日志中 “max sessions reached” 类提示识别，必要时调整配置并重启
核对 Web 前端与 Proxy 的配置一致性
前端（如 Nginx）反向代理配置若与 Proxy 实际监听地址、协议、Token 校验方式不匹配，会导致握手失败或认证拒绝。
- 比对 Nginx 配置中 proxy_pass 指向地址（如 http://127.0.0.1:2222）是否与 Proxy 实际绑定 IP/端口一致
- 检查是否启用 WebSocket 支持（SSH/RDP 会话依赖 ws/wss）：Nginx 需包含 proxy_http_version 1.1;、proxy_set_header Upgrade $http_upgrade;、proxy_set_header Connection "upgrade";
- 确认 Token 或 Session Key 配置同步：如 JumpServer 中 CORE_HOST、BOOTSTRAP_TOKEN 必须与 Core 服务完全一致，否则 Proxy 无法完成身份校验而主动断连
