面对nginx服务拒绝连接问题，应立即采取措施恢复服务并减少损失。1.检查服务器资源是否打满；2.临时扩容，云服务器可升配，物理机可加实例配合负载均衡；3.尝试平滑重启nginx；4.启用限流功能控制流量；5.排查日志、系统及网络状态；6.优化配置如调整worker进程数与连接数、keepalive超时时间等；7.结合监控、压力测试与容量规划做好预防；8.通过分析流量来源、请求类型、频率及user-agent判断是否为恶意攻击；9.调整worker进程数和连接数能提升并发处理能力，但需结合硬件与业务合理设置；10.还需排查后端服务、网络、防火墙、系统资源及代码问题，全面定位原因。
面对突发流量，Nginx服务拒绝连接，最直接的应对就是尽快恢复服务，减少损失。快速排查并临时扩容是关键，同时要记录问题，以便后续优化。
解决方案
-
快速止血：
-
排查原因：
- Nginx 日志： /var/log/nginx/Error.log 和 /var/log/nginx/access.log 是重点。看看有没有什么异常，比如 upstream 超时、连接数过多等等。
- 系统日志： /var/log/syslog 或者 /var/log/messages 看看有没有系统层面的错误。
- 网络连接数： netstat -an | grep :80 | wc -l 和 ss -ant | grep :80 | wc -l 查看当前连接数，是不是超过了 Nginx 的配置。
- TCP 连接状态： netstat -ant | awk ‘{print $NF}’ | sort | uniq -c | sort -n 看看是不是有大量的 TIME_WaiT 或者 CLOSE_WAIT 连接。
-
优化配置：
- 调整 Nginx worker 进程数： worker_processes auto; 根据 CPU 核心数设置。
- 增加 worker 连接数： worker_connections 65535; 但要确保系统内核参数也允许这么高的连接数。
- 调整 keepalive 超时时间： keepalive_timeout 75s; 减少 TIME_WAIT 连接。
- 开启 gzip 压缩： gzip on; 减少带宽消耗。
- 缓存静态资源： 利用 Nginx 的缓存功能，减少后端服务器的压力。
-
预防措施：
- 监控： 完善的监控系统是关键，提前发现问题。
- 压力测试： 定期进行压力测试，模拟高并发场景，发现瓶颈。
- 容量规划： 根据业务增长预测，提前做好容量规划。
如何区分是恶意攻击还是正常流量突增？
- 流量来源分析： 通过 Nginx 日志或者流量分析工具（比如 grafana + prometheus），看看流量是不是集中在某些 IP 地址或者地区。如果是，很可能是攻击。
- 请求类型分析： 看看是不是有大量的 POST 请求，或者请求的 URL 都是一些不存在的页面。
- 请求频率分析： 如果单个 IP 在短时间内发送大量的请求，很可能是恶意行为。
- User-Agent 分析： 看看 User-Agent 是不是正常的浏览器，或者是一些爬虫工具。
- 结合 WAF： Web 应用防火墙 (WAF) 可以有效防御常见的 Web 攻击，比如 sql 注入、xss 攻击等等。
为什么调整 Nginx worker 进程数和连接数可以缓解压力？
Nginx 是基于事件驱动的架构，worker 进程负责处理客户端的请求。
- worker 进程数： 增加 worker 进程数，可以充分利用多核 CPU 的性能，并发处理更多的请求。worker_processes auto; 会让 Nginx 自动根据 CPU 核心数设置 worker 进程数。
- worker 连接数： 每个 worker 进程可以处理多个连接。增加 worker 连接数，可以提高 Nginx 的并发能力。worker_connections 65535; 表示每个 worker 进程最多可以处理 65535 个连接。
但是，增加 worker 进程数和连接数并不是越多越好。过多的 worker 进程会增加系统开销，过多的连接数可能会导致内存不足。需要根据服务器的硬件配置和业务特点进行调整。
除了 Nginx 配置，还有哪些因素可能导致服务拒绝连接？
- 后端服务器： 如果后端服务器（比如 tomcat、Node.JS）也出现了问题，Nginx 也会受到影响。
- 网络问题： 网络延迟、丢包等问题也会导致服务拒绝连接。
- 防火墙： 防火墙可能会阻止某些 IP 地址的访问。
- 系统资源： CPU、内存、磁盘 I/O 等资源不足也会导致服务拒绝连接。
- 代码问题： 代码中的 bug 可能会导致服务崩溃。
所以，排查问题的时候，要从多个方面入手，不能只盯着 Nginx 配置。
