如何通过 proxy_ssl_session_reuse 指令提升反向代理到大规模 HTTPS 后端的性能-Nginx-PHP中文网

开启 proxy_ssl_session_reuse on 可将 TLS 握手从 2–3 RTT 压缩至 1 RTT，延迟降至 20–40ms，吞吐提升 30%～40%，但需置于 upstream 块、配合 keepalive、HTTP/1.1 长连接及 SNI 一致等配置方可生效。

如何通过 proxy_ssl_session_reuse 指令提升反向代理到大规模 https 后端的性能

开启 proxy_ssl_session_reuse on 能让 Nginx 复用与 HTTPS 后端之间的 TLS 会话，把每次建连从 2–3 次往返（RTT）压缩到 1 次，单次连接延迟从 80–120ms 降至 20–40ms，高并发场景下整体吞吐提升可达 30%～40%。它不是“开了就见效”的开关，而是依赖一组协同配置才能稳定生效的性能关键项。

必须放在 upstream 块中才有效

这个指令只在 upstream 块内起作用，且仅对 https:// 协议的后端地址生效。常见错误包括：

写在 location 或 server 块里——语法不报错，但完全被忽略
后端地址写成 http://backend:443 或 https://backend:80——协议与端口不匹配，Nginx 当作普通 HTTP 处理，不触发 SSL 层逻辑
proxy_pass 指向的 upstream 名称拼错或未定义——配置形同虚设

正确示例：

upstream api_cluster {
    server api-v1.example.com:443;
    server api-v2.example.com:443;
    keepalive 32;
    proxy_ssl_session_reuse on;
}

三项配套配置缺一不可

单独开启 proxy_ssl_session_reuse 不足以保证复用成功，必须同步落实以下基础支撑：

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

启用 HTTP/1.1 长连接：添加 proxy_http_version 1.1; 和 proxy_set_header Connection '';，避免上游响应头带 Connection: close 导致连接被强制关闭
配置 keepalive 连接池：在 upstream 中设置 keepalive 32;（数值按后端实例数和并发量调整），让 Nginx 主动维护空闲连接供复用
确保 SNI 一致：若后端是多域名共 IP 的 HTTPS 服务，必须加 proxy_ssl_server_name on;，否则 Nginx 不发送 SNI，后端无法匹配证书，复用失败

高频失效原因与排查要点

即使配置正确，复用率仍可能为 0。重点检查以下三类问题：

TLS 协议版本不兼容：比如 Nginx 配了 proxy_ssl_protocols TLSv1.2;，而后端只支持 TLS 1.3，握手必然降级为完整流程
后端主动断连早于 Nginx keepalive：Spring Boot 默认连接超时 20 秒，若 Nginx keepalive_timeout 设为 60 秒，连接早已被后端关闭，复用无从谈起
多实例未共享 session ticket 密钥：当后端是 Envoy 或 Nginx 自身集群时，若各节点 ticket 密钥不同，Nginx 发送的 session ticket 无法被其他节点解密，复用失败

验证是否真正生效，不能只看日志，要抓包确认 TLS 握手轮次——复用成功时只有 Change Cipher Spec + Finished，而非完整的 ClientHello → Certificate → ServerHello 流程。

安全与调试注意事项

生产环境慎用绕过证书校验的配置：

临时调试可设 proxy_ssl_verify off;，但必须配合 proxy_ssl_trusted_certificate 指向可信 CA 证书链，否则自签名或私有 CA 场景下容易因证书验证失败导致握手中断
建议在 log_format 中加入 $upstream_ssl_session_reused 变量（值为 . 表示未复用，r 表示复用），通过日志聚合统计真实复用率
用 ss -tnp | grep :443 观察后端连接状态，复用率高时活跃连接数应趋于稳定，接近 keepalive × worker_processes