怎么在Apache中通过mod_log_config记录特定TLS握手耗时数据分析网络瓶颈-Apache-PHP中文网

apache的mod_log_config无法记录tls握手耗时，因其仅在握手成功后介入，记录的是http请求处理时间（如%d），而非clienthello到serverhello等握手阶段耗时；真实握手耗时需用tcpdump+tshark、openssl调试日志或ssldump等底层工具采集。

怎么在apache中通过mod_log_config记录特定tls握手耗时数据分析网络瓶颈

Apache 的 mod_log_config 无法记录 TLS 握手耗时，因为它根本接触不到握手阶段——握手失败或未完成时，请求压根不会进入 Apache 日志流程；握手成功后，连接已建立，mod_log_config 只能记录 HTTP 请求处理阶段的时间（如 %D），与 TLS 握手本身无关。

要分析 TLS 握手耗时、定位网络瓶颈，必须绕过 mod_log_config，采用底层可观测手段。

? 为什么 `%D` 不是 TLS 握手耗时

%D 表示“从 Apache 接收到请求第一个字节，到发送完响应头”的微秒数。它包含：

TCP 连接建立（SYN/SYN-ACK/ACK）耗时（若非复用连接）
TLS 握手完成后的 HTTP 处理时间（含反向代理转发、headers 解析等）
但不包含 ClientHello 到 ServerHello 完成之间的任何耗时测量
更不区分是网络延迟、证书验证慢、OCSP 查询卡顿，还是客户端协议支持差。

所以 %D 高 ≠ TLS 慢，它只是“结果侧”指标，不能用于握手瓶颈归因。

? 真实 TLS 握手耗时采集方法

✅ 方法一：用 `tcpdump` + `tshark` 做端到端抓包分析

适合临时排查、单点测试或灰度流量抽样。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

在 Apache 服务器上执行：

tcpdump -i any -s 0 -w tls_handshake.pcap port 443 and host <client_ip></client_ip>

抓包完成后，用 tshark 提取握手时序：

tshark -r tls_handshake.pcap -Y "ssl.handshake" -T fields \
  -e frame.time_epoch -e ssl.handshake.type -e ssl.handshake.version \
  | awk '/1|2/ {if($2==1) start=$1; else if($2==2) print "ClientHello→ServerHello:", $1-start "s"}'

关键指标：
- ClientHello → ServerHello 时间 → 反映网络 RTT + 服务端密码套件协商开销
- ServerHello → Certificate → ServerHelloDone → ClientKeyExchange → ChangeCipherSpec → Finished → HTTP request → response → …
- 若某步明显延迟（>100ms），可定位是证书加载慢、OCSP Stapling 超时，还是客户端重传。

✅ 方法二：启用 OpenSSL 调试日志（需编译支持）

适用于开发/测试环境深度诊断。

启动 Apache 前设置环境变量：

export SSL_TRACE=1
export SSL_DEBUG_FILE=/tmp/ssl_debug.log

重启 Apache，复现问题请求，查看 /tmp/ssl_debug.log 中类似：

TLS trace: SSL_accept:before SSL initialization
TLS trace: SSL_accept:SSLv3 read client hello A
TLS trace: SSL_accept:SSLv3 write server hello A
TLS trace: SSL_accept:SSLv3 write certificate A
...
TLS trace: SSL_accept:SSLv3 flush data → took 86ms

每一行带时间戳，可精确到毫秒级，直接看到哪一步卡住。

✅ 方法三：用专用 TLS 代理工具（如 `mitmproxy` 或 `ssldump`）

适合长期监控或集成进 CI/CD 测试流水线。

ssldump 示例（需私钥）：

ssldump -k /etc/ssl/private/server.key -n -i any port 443

输出含握手各阶段耗时、ALPN 协商结果、SNI 域名、密钥交换方式等，比 Apache 日志丰富得多。

? 补充：哪些 TLS 指标 Apache 其实能记（但不是耗时）

虽然不能记“耗时”，但以下字段对瓶颈辅助判断很有用，建议加进日志：

%{SSL_PROTOCOL}x → 若大量出现 TLSv1.0 或空值，说明客户端老旧或 ALPN 协商失败
%{SSL_CIPHER}x → 出现 NULL-MD5 或 EXP-RC4-MD5 表明弱协议被选中，可能触发客户端重试
%{SSL_CLIENT_VERIFY}x → 若频繁 FAILED:unable to get local issuer certificate，说明中间 CA 缺失或 OCSP 响应异常
%H（协议版本）→ 若 HTTPS 请求却显示 HTTP/1.1，可能是 HTTP/2 被禁用或 ALPN 未协商成功