如何通过 proxy_ssl_session_reuse 指令提升反向代理到大规模 HTTPS 后端的性能

陆砚码

2026-10-22 • 👁 0人浏览过

开启 proxy_ssl_session_reuse on 可将 TLS 握手从 2–3 RTT 压缩至 1 RTT，延迟降至 20–40ms，吞吐提升 30%～40%，但需置于 upstream 块、配合 keepalive、HTTP/1.1 长连接及 SNI 一致等配置方可生效。开启 proxy_ssl_session_reuse on 能让 Nginx 复用与 HTTPS 后端之间的 TLS 会话，把每次建连从 2–3 次往返（RTT）压缩到 1 次，单次连接延迟从 80–120ms 降至 20–40ms，高并发场景下整体吞吐提升可达 30%～40%。它不是“开了就见效”的开关，而是依赖一组协同配置才能稳定生效的性能关键项。必须放在 u ps tream 块中才有效这个指令只在

upstream

块内起作用，且仅对

https://

协议的后端地址生效。常见错误包括：写在

location

或

server

块里——语法不报错，但完全被忽略后端地址写成

http://backend:443

或

https://backend:80

——协议与端口不匹配，Nginx 当作普通 HTTP 处理，不触发 SSL 层逻辑

proxy_pass

指向的 upstream 名称拼错或未定义——配置形同虚设正确示例：

upstream api_cluster {
    server api-v1.example.com:443;
    server api-v2.example.com:443;
    keepalive 32;
    proxy_ssl_session_reuse on;
}

三项配套配置缺一不可单独开启

proxy_ssl_session_reuse

不足以保证复用成功，必须同步落实以下基础支撑：稿定在线PS PS软件网页版下载启用 HTTP/1.1 长连接：添加

proxy_http_version 1.1;

和

proxy_set_header Connection '';

，避免上游响应头带

Connection: close

导致连接被强制关闭配置 keepalive 连接池：在 upstream 中设置

keepalive 32;

（数值按后端实例数和并发量调整），让 Nginx 主动维护空闲连接供复用确保 SNI 一致：若后端是多域名共 IP 的 HTTPS 服务，必须加

proxy_ssl_server_name on;

，否则 Nginx 不发送 SNI，后端无法匹配证书，复用失败高频失效原因与排查要点即使配置正确，复用率仍可能为 0。重点检查以下三类问题： TLS 协议版本不兼容：比如 Nginx 配了

proxy_ssl_protocols TLSv1.2;

，而后端只支持 TLS 1.3，握手必然降级为完整流程后端主动断连早于 Nginx keepalive ：Spring Boot 默认连接超时 20 秒，若 Nginx

keepalive_timeout

设为 60 秒，连接早已被后端关闭，复用无从谈起多实例未共享 session ticket 密钥：当后端是 Envoy 或 Nginx 自身集群时，若各节点 ticket 密钥不同，Nginx 发送的 session ticket 无法被其他节点解密，复用失败验证是否真正生效，不能只看日志，要抓包确认 TLS 握手轮次——复用成功时只有

Change Cipher Spec + Finished

，而非完整的 ClientHello → Certificate → ServerHello 流程。安全与调试注意事项生产环境慎用绕过证书校验的配置：临时调试可设

proxy_ssl_verify off;

，但必须配合

proxy_ssl_trusted_certificate

指向可信 CA 证书链，否则自签名或私有 CA 场景下容易因证书验证失败导致握手中断建议在 log_format 中加入

$upstream_ssl_session_reused

变量（值为

.

表示未复用，

r

表示复用），通过日志聚合统计真实复用率用

ss -tnp | grep :443

观察后端连接状态，复用率高时活跃连接数应趋于稳定，接近

keepalive × worker_processes

相关文章