如何在 Nginx 中实现对 SSL 握手延迟的实时 Prometheus 指标采集与展示-Nginx-PHP中文网

Nginx原生不支持SSL握手延迟指标，但OpenResty/Tengine可通过$ssl_handshake_time变量结合lua-resty-prometheus实现实时采集与Prometheus监控，兼容方案可用日志解析补足。

如何在 nginx 中实现对 ssl 握手延迟的实时 prometheus 指标采集与展示

在 Nginx 中直接暴露 SSL 握手延迟的原生 Prometheus 指标并不可行，因为 Nginx 官方模块（包括 ngx_http_ssl_module）不提供握手耗时的内置计时点。但可通过组合 Nginx 日志、自定义 Lua 脚本与外部指标导出器，实现近实时、高精度的 SSL 握手延迟采集与可视化。

启用 Nginx 的 $ssl_handshake_time 变量（OpenResty 或 Tengine）

Nginx 开源版不支持 $ssl_handshake_time，但 OpenResty（基于 Nginx + Lua）和部分定制发行版（如 Tengine）已扩展该变量，记录从 TCP 连接建立到 TLS 握手完成的时间（单位：秒，精度为毫秒级）。

确认使用的是 OpenResty ≥ 1.21.4.2 或 Tengine ≥ 2.3.3；执行 nginx -V 2>&1 | grep -o 'openresty' 验证

在 server 块中启用日志格式，例如：

log_format ssl_metrics '$remote_addr - $remote_user [$time_local] '
                        '"$request" $status $body_bytes_sent '
                        '"$http_referer" "$http_user_agent" '
                        '$ssl_protocol "$ssl_cipher" $ssl_handshake_time;'

将该格式用于 access_log，并确保启用了 SSL：
```
access_log /var/log/nginx/ssl_metrics.log ssl_metrics;
```

用 nginx-lua-prometheus 导出实时直方图指标

仅靠日志无法满足“实时”要求（日志需轮转、解析、聚合）。更优方案是利用 lua-resty-prometheus 在请求生命周期内直接打点。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

在 http 块中初始化 Prometheus registry 和直方图：

lua_shared_dict prometheus_metrics 10M;
lua_package_path "/path/to/lua-resty-prometheus/lib/?.lua;;";
init_worker_by_lua_block {
    prometheus = require("prometheus").init("prometheus_metrics")
    ssl_handshake_hist = prometheus:histogram(
        "nginx_ssl_handshake_seconds",
        "SSL handshake duration in seconds",
        {"server_name", "protocol", "cipher"},
        {0.005, 0.01, 0.025, 0.05, 0.1, 0.25, 0.5, 1.0}
    )
}

在 server 块中，在 SSL 握手完成后（即 ssl_certificate_by_lua* 或 access_by_lua* 阶段）记录指标：

ssl_certificate_by_lua_block {
    if ngx.var.ssl_handshake_time then
        local sn = ngx.var.server_name or "unknown"
        local proto = ngx.var.ssl_protocol or "unknown"
        local cipher = ngx.var.ssl_cipher or "unknown"
        ssl_handshake_hist:observe(tonumber(ngx.var.ssl_handshake_time), {sn, proto, cipher})
    end
}

暴露指标端点（如 /metrics）：

location /metrics {
    content_by_lua_block {
        prometheus:collect()
    }
}

配置 Prometheus 抓取并构建 Grafana 面板

确保 Prometheus 的 scrape_config 正确指向 Nginx 所在地址与 /metrics 路径，抓取间隔建议 ≤ 15s 以保障“实时性”。

在 Prometheus 中验证指标存在：
nginx_ssl_handshake_seconds_sum{job="nginx"} / nginx_ssl_handshake_seconds_count{job="nginx"} → 计算平均延迟
常用 Grafana 查询示例：
– P95 握手延迟：histogram_quantile(0.95, sum(rate(nginx_ssl_handshake_seconds_bucket[5m])) by (le, server_name))
– 按协议分布：sum by (protocol) (rate(nginx_ssl_handshake_seconds_count[1h]))
– 异常长尾（>200ms）请求数：sum(rate(nginx_ssl_handshake_seconds_bucket{le="0.2"}[5m])) by (server_name)
推荐面板维度：按 server_name、ssl_protocol、ssl_cipher 切分，叠加时间序列与热力图（Heatmap）展示延迟分布变化

替代方案：被动采集 access_log + logstash/exporter（适用于标准 Nginx）

若无法升级至 OpenResty，可借助日志解析链路补足：

启用带 $upstream_connect_time（对上游）或自定义时间戳的 access_log，或使用 lua-log-socket 在 ssl_certificate_by_lua 中写入带毫秒精度的握手完成时间
用 mtail 或 filebeat + ingest pipeline 解析日志，提取 ssl_handshake_time 字段，转换为 Prometheus 格式（如通过 prometheus-textfile-collector 写入临时文件）
此方式延迟约 5–30 秒，非严格实时，但兼容所有 Nginx 版本，适合过渡或审计场景