WebPagetest测试特殊端口超时求助：Nginx反向代理Apache场景

以下是几种最可能的原因及对应的排查方法：

1. 端口对外访问权限未开放 #

你的服务器防火墙或云服务商安全组可能只放行443端口的入站请求，而8443端口未对WebPagetest的测试节点IP（或公网所有IP）开放。常规浏览器可能处于内部网络或已授权的IP范围，所以能正常访问，但公网的WebPagetest节点无法建立连接。

• 排查操作：
  • Linux系统执行iptables -L -n检查防火墙规则，确认是否有允许8443端口TCP入站的条目；
  • 登录云平台控制台，查看安全组的入站规则，确认8443端口是否设置为允许所有IP（或包含WebPagetest节点IP）访问。

2. Apache SSL配置兼容性不足 #

WebPagetest使用的测试客户端（部分节点可能使用较旧的浏览器内核）不支持Apache配置的SSL协议或加密套件，导致SSL握手失败，最终超时。而现代Chrome浏览器支持的协议/套件范围更广，所以能正常连接。

• 排查操作：
  • 对比Nginx和Apache的SSL配置，确保Apache启用了TLS 1.2、TLS 1.3等主流协议，避免仅启用过时的SSLv3或TLS 1.0；
  • 调整Apache的加密套件配置为兼容主流客户端的组合，例如：SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384；
  • 执行openssl s_client -connect www.sample.com:8443测试SSL握手是否正常，查看Apache的error.log是否有SSL握手失败的日志。

3. Apache访问控制规则拦截请求 #

Apache可能配置了基于User-Agent、IP地址的访问控制规则，WebPagetest的测试请求被拦截，导致连接中断（而非直接返回403，表现为超时）。

• 排查操作：
  • 检查Apache虚拟主机配置或httpd.conf中的Require指令、RewriteRule规则，以及mod_security的拦截规则，确认是否存在针对WebPagetest相关标识的限制；
  • 查看Apache的access.log，确认WebPagetest的请求是否到达服务器；如果日志中没有对应请求记录，说明请求在到达Apache前被拦截；如果有记录但返回异常状态码，说明是Apache内部规则拦截。

4. 网络层面的端口拦截 #

部分运营商或中间路由会拦截非标准端口（8443属于非标准HTTPS端口），导致WebPagetest节点所在网络无法访问该端口，而443作为标准HTTPS端口不受影响。

• 排查操作：
  • 使用不同地区的WebPagetest节点进行测试，看是否存在地域差异；
  • 通过公网环境执行telnet www.sample.com 8443或nc -zv www.sample.com 8443，确认端口是否能正常连通。

5. Apache超时配置过短 #

Apache的Timeout、KeepAliveTimeout等参数设置过短，WebPagetest的测试请求通常会加载页面所有资源，请求链较长，容易触发超时；而常规浏览器访问可能只加载核心资源，未触发超时阈值。

• 排查操作：
  • 查看Apache配置中的Timeout参数，默认值通常为60，可尝试调整为120；
  • 对比Nginx的超时配置，确保Apache的超时设置能覆盖WebPagetest的测试周期。

内容的提问来源于stack exchange，提问作者alancc