Apache作为反向代理部署时，每一个客户端请求都可能触发一次到后端上游服务的新建TCP连接。连接关闭后，主动关闭方会进入TIME_WAIT状态并停留约60秒。当请求量达到每秒成百上千时，TIME_WAIT套接字会迅速累积，严重时耗尽本地临时端口，导致connect调用失败、请求大量超时。要解决这个问题，核心思路是减少短连接的产生，让Apache尽可能复用已经建立的到后端的连接。
一、TIME_WAIT产生的原理与影响
TCP连接断开需要经过四次挥手。谁先发出FIN并主动关闭连接，谁就要进入TIME_WAIT状态，等待2MSL（Linux上约60秒）后才能真正释放套接字。这个设计的初衷有两个：一是确保最后一个ACK能被对方收到，如果对方没收到FIN对应的应答会重传；二是让旧连接的报文在网络中自然消亡，避免干扰复用相同四元组的新连接。
在反向代理场景中，Apache通常是主动关闭的一方。一方面它响应完客户端就关闭连接，另一方面与后端的连接默认也可能是一次性使用。可用下面的命令观察：
# 统计TIME_WAIT数量 ss -ant state time-wait | wc -l # 查看到某个后端的连接分布 ss -ant dst 10.0.0.10:8080 | head -20 # 查看本地临时端口范围 cat /proc/sys/net/ipv4/ip_local_port_range
假设端口范围为默认的28232个（32768到60999），如果后端QPS超过500且连接不复用，理论上60秒内就会积累3万个左右的TIME_WAIT，端口几乎被耗尽。此时内核日志中会出现cannot assign requested address，应用层表现为大量502或请求卡顿。因此优化必须从两个方向入手：让连接可以被复用，以及扩大可用端口的容量。
二、Apache侧的连接复用配置
1. 确认使用mpm_event并开启连接池
从Apache 2.4.11开始，mpm_event模块支持与后端的连接池，通过mod_proxy复用连接，这是最有效的手段。开启方式是在全局或vhost中配置ProxyPass时加上connection pooling相关参数，实际上连接池默认开启，但受ProxyPass ... keepalive=On和连接超时参数控制。典型配置如下：
LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_http_module modules/mod_proxy_http.so
LoadModule mpm_event_module modules/mod_mpm_event.so
<VirtualHost *:80>
ServerName gateway.ipipp.com
# disablereuse=off 是默认值，保持连接复用开启
# min/max 决定到单个后端连接池的大小
ProxyPass /api http://10.0.0.10:8080/api \
min=5 max=100 ttl=120 keepalive=On \
retry=30 timeout=60
ProxyPassReverse /api http://10.0.0.10:8080/api
</VirtualHost>
其中ttl=120表示空闲连接最多保留120秒，keepalive=On要求后端不主动断开。特别要注意disablereuse参数，某些老配置为了排查问题会设置disablereuse=On，这会让每个请求都新建连接，是TIME_WAIT暴增的常见元凶，正式环境务必确认它是关闭状态。
2. 利用代理端Keep-Alive减少客户端侧连接
TIME_WAIT不仅出现在后端方向，客户端方向同样存在。需要确认以下指令没有被错误关闭：
KeepAlive On MaxKeepAliveRequests 1000 KeepAliveTimeout 5
此外，若使用了ProxyPassMatch或基于RewriteRule ... [P]的动态代理，某些写法会导致连接池失效。条件允许时应优先使用静态的ProxyPass，让mod_proxy按目标地址维护连接池。如果后端是HTTPS，还要加载mod_proxy_http2或确保ProxyPass使用https://方案时保持会话复用，否则TLS握手叠加短连接会同时带来CPU和端口压力。
三、内核参数调优与验证方法
应用层复用之外，还可以通过内核参数提高系统的容错能力。以下是比较通用的生产配置：
# /etc/sysctl.conf net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_max_tw_buckets = 262144 net.ipv4.ip_local_port_range = 10240 65000 # 生效 sysctl -p
tcp_tw_reuse=1允许复用TIME_WAIT状态的套接字用于出站连接，仅对客户端方向（也就是Apache连后端的方向）生效，且要求双方都支持TCP时间戳，Linux内核4.12之后该参数已经比较安全，一般不建议再碰tcp_tw_recycle（新内核已移除）。ip_local_port_range扩大后可用端口数从约2.8万提升到5.4万，相当于容量翻倍，属于低风险高收益的调整。
配置完成后要验证效果。先压测再观察指标：用ss -s看整体连接统计，用netstat -antp | grep TIME_WAIT | awk '{print $5}' | sort | uniq -c确认TIME_WAIT的对端分布。优化到位的标志是，到后端方向的TIME_WAIT数量稳定在低位，同时Apache的server-status中能看到proxy连接池命中，例如类似proxy:balancer-http://10.0.0.10:8080的活跃连接长时间存在而不是频繁重建。
最后提醒一点：如果调整了Apache配置后TIME_WAIT仍然快速增长，要检查后端服务器是否禁用了Keep-Alive（例如Nginx上游默认keepalive为空，Tomcat的maxKeepAliveRequests为1）。连接复用是双向协议，任何一端关闭都会让池化失效。按照先排查应用层复用、再扩容端口、最后考虑内核参数的顺序处理，基本可以彻底解决Apache代理场景下的TIME_WAIT问题。