如何排查公司内部访问Web应用的全局连接故障？

一、网络链路层面验证 #

• 故障发生时，在公司网络内直接ping服务器IP和域名，观察是否有丢包或延迟飙升；用traceroute（Linux/macOS）或tracert（Windows）追踪数据包路径，定位在哪一跳出现异常，判断是公司内网、运营商链路还是Digital Ocean侧的问题。
• 对比移动数据和公司网络的DNS解析结果，用nslookup或dig命令检查，确认公司DNS是否存在解析错误或延迟过高的情况。
• 测试公司网络到服务器端口（80/443）的连通性，用telnet <服务器IP> 443或nc -zv <服务器IP> 443，排查端口是否被阻断。

二、Nginx配置与状态排查 #

• 故障发生时实时查看Nginx日志：错误日志（通常/var/log/nginx/error.log）看是否有连接队列满、拒绝连接的提示（比如accept() failed (11: Resource temporarily unavailable)），访问日志（/var/log/nginx/access.log）看请求是否到达Nginx。
• 检查Nginx连接相关配置：
  • 确认worker_processes、worker_connections参数，计算最大并发连接数（worker_processes * worker_connections）是否满足需求
  • 检查keepalive_timeout、keepalive_requests设置，避免连接过早关闭或复用不足
  • 排查是否配置了Nginx层面的IP限流（limit_conn_zone、limit_req_zone），是否针对公司IP段做了全局限流，而非用户ID维度
• 用nginx -V查看编译模块，确认限流等必要模块已开启；用ps aux | grep nginx检查worker进程是否正常运行。

三、服务器网络与系统层面检查 #

• 故障时用ss -tanp或netstat -tanp查看服务器网络连接状态，看是否有大量TIME_WAIT、SYN_RECV状态的连接堆积。
• 检查服务器防火墙（ufw/iptables）规则，确认是否误将公司IP段设置了限流或阻断规则。
• 查看Digital Ocean Droplet监控面板，检查是否有带宽耗尽、流量异常的情况，或DDoS防护触发的记录（平台可能在流量异常时临时限制连接）。
• 检查系统文件句柄限制：用ulimit -n查看当前进程的最大文件句柄数，确认Nginx和PHP-FPM的文件句柄配额是否足够，避免因句柄耗尽无法建立新连接。

四、容易遗漏的排查点 #

• PHP-FPM进程耗尽：虽然服务器CPU、内存使用率不高，但pm.max_children、pm.start_servers等参数设置不合理可能导致请求堆积，Nginx会等待进程释放间接引发超时。查看PHP-FPM日志（如/var/log/php-fpm/www-error.log）是否有进程耗尽的提示。
• TCP协议参数问题：检查服务器tcp_syncookies是否开启（应对SYN队列满的情况），tw_reuse、tw_recycle参数是否合理，影响TIME_WAIT连接的回收效率。
• 公司内网设备瓶颈：联系内网管理员检查公司路由器、防火墙、代理服务器的连接数、带宽使用情况，确认是否是内网设备性能不足或设置了限流规则。
• SSL/TLS握手问题：如果是HTTPS请求，测试HTTP请求是否正常，排查是否是SSL证书过期、TLS版本不兼容，或Nginx的ssl_ciphers、ssl_protocols配置导致握手超时。

内容的提问来源于stack exchange，提问作者PeterTheLobster