eBPF通过Uprobes/Kprobes/Tracepoints精准捕获Nginx与内核TLS调用链，实现纳秒级握手耗时拆解，可定位会话复用失效、OCSP阻塞、证书加载慢等瓶颈，并支持实时统计与交叉验证。
Nginx 的 SSL 握手性能直接影响首屏加载、API 响应延迟和连接复用率。eBPF 是目前最轻量、最精准的观测手段，能绕过日志采样与代理侵入，在内核/用户态边界无感捕获握手关键路径的耗时与失败原因。
eBPF 如何精准定位 SSL 握手瓶颈
SSL 握手发生在 Nginx 用户态（如 ngx_ssl_handshake）与内核 TLS 栈（如 tls_sw_sendmsg、do_tls_handshake）之间。传统工具（如 openssl s_client 或日志 $ssl_handshake_time）只能给出端到端结果，无法拆解：是证书加载慢？OCSP Stapling 超时？密钥交换卡在用户态？还是内核 TLS 处理阻塞？
eBPF 可同时挂载：
-
Uprobes 到 Nginx SSL 相关函数（如
ngx_ssl_handshake,ngx_ssl_create_connection），捕获入口/出口时间、返回值、参数（如 SSL 结构体地址） -
Kprobes/Kretprobes 到内核 TLS 函数（如
tls_sk_proto_close,tls_push_record），识别内核侧延迟或资源争用 -
Tracepoints（如
syscalls:sys_enter_accept4,sock:inet_sock_set_state），关联连接建立与握手阶段
这样就能构建一条从 accept() → SSL_new() → SSL_do_handshake() → send() 的完整调用链，并精确计算各段耗时。
实操：用 bpftrace 快速抓取 SSL 握手延迟
以下脚本可实时统计每次握手的总耗时（纳秒级）：
#!/usr/sbin/bpftrace
// 记录 SSL 握手开始时间
uprobe:/usr/sbin/nginx:ngx_ssl_handshake {
@start[tid] = nsecs;
@ssl_ptr[tid] = arg0; // 保存 SSL* 指针，用于后续关联
}
// 握手结束，计算耗时
uretprobe:/usr/sbin/nginx:ngx_ssl_handshake /@start[tid]/ {
$elapsed = nsecs - @start[tid];
@handshake_ns = hist($elapsed);
printf("SSL handshake %dns (tid:%d, ret:%d)\n", $elapsed, tid, retval);
delete(@start[tid]);
delete(@ssl_ptr[tid]);
}
运行后执行 sudo bpftrace ./ssl_handshake.bt，即可看到直方图输出。若发现大量 >100ms 的条目，说明存在明显瓶颈，需进一步下钻。
聚焦三个高发问题点并验证
会话复用失效导致重复完整握手
检查ssl_session_timeout是否过短（默认 5m），结合ssl_session_cache shared:SSL:20m容量是否充足。用 eBPF 补充验证：在ngx_ssl_handshake入口处读取SSL_get_session(ssl)返回值，若为 NULL，则表示未复用；再配合@ssl_ptr[tid]查看SSL_session_reused(ssl)返回值，可直接统计复用率。OCSP Stapling 阻塞主线程
若启用了ssl_stapling on但未配ssl_stapling_responder或上游 DNS 不稳，Nginx 默认同步等待 OCSP 响应。可用 uprobe 挂在ngx_ssl_stapling_update函数，观察其执行时长是否异常（>500ms）。推荐改用异步模式：ssl_stapling_verify on;+resolver 8.8.8.8 valid=300s;证书链加载或私钥操作慢（尤其 PEM 解密）
ngx_ssl_certificate和ngx_ssl_dhparam是初始化阶段函数，但若配置了密码保护的私钥（ssl_certificate_key加密），每次 reload 都会触发解密。可通过 uprobe 统计EVP_PKEY_decrypt_old或PEM_read_bio_PrivateKey调用频次与耗时——这类操作不该出现在请求路径中，只应在 reload 时发生。
配套验证与长期可观测建议
- 在 access_log 中加入
$ssl_protocol、$ssl_cipher、$ssl_session_reused，按小时聚合分析复用率趋势 - 使用
funclatency工具对比调优前后：sudo ./funclatency -m /usr/sbin/nginx:ngx_ssl_handshake - 对比内核 TLS 路径：启用
CONFIG_TLS_DEVICE=y并绑定硬件加速卡后，用 kprobe 观察tls_push_record耗时是否显著下降
不复杂但容易忽略：eBPF 抓到的高延迟未必来自 Nginx 本身，也可能是上游 resolver 延迟、磁盘读证书慢（openat 系统调用耗时高）、甚至 SELinux 策略审计日志阻塞。建议搭配 opensnoop 和 biolatency 交叉印证。
