生产环境GraphQL WebSocket连接失败，Nginx配置求助

问题说明 #

已尝试多种Nginx配置，访问时仍提示连接失败，当前使用的配置如下：

location / {
        # First attempt to serve request as file, then
        # as directory, then fall back to displaying a 404.
        #try_files $uri $uri/ =404;
        proxy_pass http://127.0.0.1:1337;
        proxy_set_header   X-Forwarded-For $remote_addr;
        proxy_set_header   Host $http_host;
}

location /graphql {
proxy_pass         https://bakbakgraphql.com/graphql;
proxy_http_version 1.1;
proxy_set_header   Upgrade $http_upgrade;
proxy_set_header   Connection "upgrade";
proxy_set_header   Host $host;
}

错误表现：浏览器提示无法连接目标服务器，连接被拒绝或服务器不可达。

排查与修复步骤 #

1. 验证本地1337端口服务状态 #

在服务器上执行命令，直接访问本地服务：

curl http://127.0.0.1:1337

• 如果能正常返回服务内容，说明本地服务没问题；
• 如果提示“连接拒绝”，先启动1337端口对应的服务，或者检查服务配置是否确实监听了127.0.0.1:1337。

2. 测试/graphql目标地址的连通性 #

在服务器上测试能否访问外部代理目标：

curl https://bakbakgraphql.com/graphql

如果无法访问，大概率是服务器网络受限：

• 检查DNS解析是否正常，执行nslookup bakbakgraphql.com确认域名能解析到正确IP；
• 排查服务器防火墙、安全组是否允许出站访问443端口；
• 如果服务器需要通过代理上网，给Nginx配置全局代理。

3. 修正Nginx配置细节 #

• 把/graphql块里的"替换成正常双引号"upgrade"，避免配置解析错误；
• 调整Host头：如果目标服务器要求Host必须是自身域名，把proxy_set_header Host $host;改成proxy_set_header Host bakbakgraphql.com;；
• 检查proxy_pass路径：如果目标服务的/graphql是根路径接口，可把proxy_pass改成https://bakbakgraphql.com/，避免路径重复拼接；
• 补充必要的代理头，比如X-Real-IP，同时确保代理SSL配置正常，若遇到证书问题，可临时关闭验证（仅测试用，生产环境不建议）：

location /graphql {
    proxy_pass         https://bakbakgraphql.com/graphql;
    proxy_http_version 1.1;
    proxy_set_header   Upgrade $http_upgrade;
    proxy_set_header   Connection "upgrade";
    proxy_set_header   Host bakbakgraphql.com;
    proxy_set_header   X-Forwarded-For $remote_addr;
    proxy_ssl_verify off; # 测试用，生产需移除
}

4. 查看Nginx错误日志定位原因 #

直接查看Nginx错误日志，获取具体失败信息：

tail -f /var/log/nginx/error.log

日志会明确提示是连接超时、证书不匹配还是权限问题，根据提示针对性解决。

5. 检查防火墙与端口权限 #

• 确认服务器防火墙允许Nginx监听的80/443端口对外开放；
• 若使用云服务器，检查安全组规则，确保80/443端口的入站流量被允许；
• 部分服务器会限制本地进程访问内部端口，需确认Nginx有权限访问127.0.0.1:1337。

内容的提问来源于stack exchange，提问作者Manoj Rawat