实现Nginx服务器配置WSS（WebSocket Secure）的核心在于正确构建“HTTPS监听+反向代理+Header头升级”的技术闭环，这是保障即时通讯、在线游戏等实时业务数据安全传输的关键路径，配置过程中，必须确保Nginx充当SSL终端，将加密流量解密后转发至后端WebSocket服务，同时通过特定Header字段维持长连接握手。
核心配置逻辑与前置准备
WSS协议本质上是WebSocket协议与TLS/SSL加密协议的结合体，在Nginx层面，配置WSS不仅仅是端口映射，更是一次完整的协议转换过程。
-
环境基础要求
服务器需已安装Nginx并包含ngx_http_ssl_module模块，且拥有有效的SSL证书（如Let’s Encrypt免费证书或商业证书），未配置HTTPS的域名无法提供WSS服务，浏览器会强制阻断非加密的WebSocket连接。 -
配置文件结构规划
建议在/etc/nginx/conf.d/目录下建立独立的配置文件，遵循“监听SSL、定义Upstream、处理Upgrade”的三段式结构，这种结构不仅逻辑清晰，更利于后期维护和负载均衡扩展。
Nginx配置WSS的详细实施步骤
以下配置方案遵循生产环境安全标准,请根据实际业务需求调整域名和端口。
-
定义后端服务组
在http块内，首先定义后端WebSocket服务器地址，使用upstream模块可以实现负载均衡，避免单点故障。upstream websocket_backend { server 127.0.0.1:9501; keepalive 32; }此处
keepalive参数至关重要，它保持了与后端服务的连接池，显著降低了TCP握手带来的性能损耗。 -
构建SSL服务端配置
配置监听443端口并开启SSL，这是服务器nginx配置wss的入口。server { listen 443 ssl; server_name yourdomain.com; ssl_certificate /path/to/your/cert.pem; ssl_certificate_key /path/to/your/key.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5; }必须强制使用TLSv1.2以上版本，禁用不安全的旧版协议，确保传输层安全。
-
配置反向代理与协议升级
这是配置中最核心的环节，决定了握手能否成功。location /wss { proxy_pass http://websocket_backend; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; }关键点解析：
proxy_http_version 1.1：WebSocket依赖HTTP/1.1协议，默认的HTTP/1.0不支持长连接。Upgrade $http_upgrade与Connection "upgrade"：这两个Header头是握手成功的灵魂，告诉Nginx将连接从HTTP协议“升级”为WebSocket协议，若缺失此项，客户端将收到400 Bad Request错误。
性能优化与超时控制策略
默认的Nginx超时设置通常为60秒,若WebSocket连接长时间无数据传输，Nginx会主动切断连接，导致业务中断。
-
调整Proxy Read Timeout
在location块中增加proxy_read_timeout参数。proxy_read_timeout 3600s;
将超时时间延长至1小时或更长,具体视业务心跳机制而定，这能有效防止因网络抖动或客户端静默导致的连接断开。
-
开启连接复用
在upstream配置中已提及keepalive，这能显著提升高并发场景下的吞吐量，对于即时通讯应用，减少TCP连接建立的开销是性能优化的关键一环。
常见故障排查与权威解决方案
在实际部署中,配置书写正确并不代表服务立即可用，环境差异往往导致隐蔽故障。
-
握手失败（403/400错误）
现象： 客户端报错Error during WebSocket handshake。
根源： 往往是SELinux防火墙拦截了反向代理端口，或者Nginx配置中proxy_set_header字段拼写错误。
方案： 检查SELinux策略，确保Nginx有权限访问后端端口；使用nginx -t命令检测配置语法。 -
连接频繁断开重连
现象： 连接建立成功，但每隔固定时间断开。
根源： Nginx未配置长超时，或后端服务未正确响应心跳包。
方案： 调整proxy_read_timeout，同时检查后端WebSocket服务的心跳间隔是否小于Nginx的超时阈值。 -
跨域问题
虽然WSS本身不直接解决跨域，但Nginx作为反向代理，需确保proxy_set_header正确传递了Origin信息，或在Nginx层配置CORS头部，允许特定域名访问。
安全加固建议
作为专业的运维实践,安全永远是第一位的。
- 限制来源Referer
通过valid_referers指令，防止恶意站点滥用你的WSS接口资源。 - 流量限速
针对WebSocket连接建立频率进行限制，防止DDoS攻击耗尽服务器文件描述符。limit_conn_zone $binary_remote_addr zone=conn_limit:10m; limit_conn conn_limit 10;
此配置限制单个IP同时建立的连接数,保障服务器稳定性。
相关问答
Nginx配置WSS后，客户端连接时出现101 Switching Protocols但随即断开，是什么原因？
答：这通常表示握手阶段成功，但数据传输阶段失败，主要原因可能是后端WebSocket服务未启动，或者防火墙拦截了后端端口，建议检查Nginx错误日志error.log，查看是否有connect() failed记录，并确认后端服务进程状态。
为什么配置了WSS，浏览器仍然提示“Mixed Content”混合内容错误？
答：这是因为网站页面使用HTTPS加载，但前端代码中WebSocket连接地址使用了ws://而非wss://，在HTTPS页面中，浏览器强制要求所有资源（包括WebSocket）必须使用加密协议，解决方法是将前端连接地址修改为wss://yourdomain.com/wss。
如果您在配置过程中遇到其他疑难杂症,欢迎在评论区留言交流。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8nginx%e9%85%8d%e7%bd%aewss%ef%bc%8cnginx%e5%a6%82%e4%bd%95%e9%85%8d%e7%bd%aewss%e5%8d%8f%e8%ae%ae%ef%bc%9f/
