Java Spring Boot应用连接Cloudflare代理交易所WebSocket随机断开求助

1. Cloudflare SSL/TLS会话与NAT端口复用冲突 #

Cloudflare对WebSocket的SSL处理逻辑特殊，结合AWS NAT Gateway的端口复用机制，容易出现以下问题：

• NAT Gateway会复用源端口，当多个WebSocket连接通过同一端口访问Cloudflare时，可能触发SSL会话标识冲突，导致SSLEngineResult在unwrap操作时状态异常。
• Tomcat默认SSL配置的协议、加密套件与Cloudflare的偏好不匹配，握手后数据传输阶段出现解密失败，最终触发1006断开。

排查与解决：

• 强制指定兼容Cloudflare的SSL协议和加密套件，在Spring Boot配置文件中添加：

  server.ssl.enabled-protocols=TLSv1.2,TLSv1.3
  server.ssl.ciphers=TLS_AES_256_GCM_SHA384,TLS_CHACHA20_POLY1305_SHA256,TLS_AES_128_GCM_SHA256,ECDHE-ECDSA-AES256-GCM-SHA384,ECDHE-RSA-AES256-GCM-SHA384
  

• 禁用Tomcat WebSocket的SSL会话复用：自定义TomcatWebSocketServletWebServerCustomizer，设置sslSessionCacheSize为0，避免会话复用带来的冲突。

2. NAT与Cloudflare的空闲超时不匹配 #

AWS NAT Gateway默认TCP空闲超时为350秒，Cloudflare对基础套餐的WebSocket空闲超时通常为100秒，若你的ping/pong机制存在以下问题，会触发主动断开：

• Ping间隔超过任一方的超时阈值，导致连接被中间设备主动回收，Tomcat SSL层处理突然断开的连接时抛出unwrap异常。
• Ping包未正确被Cloudflare或NAT识别为活动流量，无法刷新会话超时时间。

排查与解决：

• 将ping/pong间隔调整为60-90秒，确保在两者的超时阈值内。
• 若使用Cloudflare付费套餐，可在控制台延长WebSocket空闲超时时间。

3. Tomcat WebSocket SSL引擎的容错缺陷 #

Tomcat默认NioEndpoint对异常SSL帧（比如Cloudflare提前断开时的残留帧）处理不够优雅，会直接抛出SSLEngineResult异常并触发1006断开，而非正常处理连接关闭事件。

排查与解决：

• 切换到Jetty作为WebSocket容器：在Maven依赖中排除Tomcat，引入Jetty：

  <dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-web</artifactId>
      <exclusions>
          <exclusion>
              <groupId>org.springframework.boot</groupId>
              <artifactId>spring-boot-starter-tomcat</artifactId>
          </exclusion>
      </exclusions>
  </dependency>
  <dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-jetty</artifactId>
  </dependency>
  

  Jetty的SSL处理对异常帧的容错性更好，可避免该错误。
• 自定义Tomcat的SSL错误处理：扩展SslHandler，捕获SSLEngineResult异常，将其转化为正常的连接关闭事件。

4. Cloudflare流量检测拦截 #

Cloudflare的DDoS防护机制会检测异常流量，若你的WebSocket消息频率、格式不符合交易所API规范，可能被判定为异常流量强制断开，此时SSL层会因连接突然中断抛出unwrap异常。

排查与解决：

• 严格遵循目标交易所WebSocket API的消息格式、频率限制，比如Bitfinex的心跳间隔、订阅格式，避免发送无效或高频消息。
• 若有Cloudflare控制台权限，检查防火墙日志确认是否存在连接拦截记录。

内容的提问来源于stack exchange，提问作者alext