如何通过 proxy_ssl_session_reuse 提升大规模 HTTPS 负载均衡的性能表现-Nginx-PHP中文网

开启 proxy_ssl_session_reuse on 可将 nginx 与 https 后端的 tls 建连耗时从 80–120ms 降至 20–40ms，延迟下降超 30%，复用率通常达 90% 以上；必须置于 upstream 块中，且需配套 keepalive、http/1.1 和 sni 配置，并确保 tls 版本一致、后端不主动断连。

如何通过 proxy_ssl_session_reuse 提升大规模 https 负载均衡的性能表现

开启 proxy_ssl_session_reuse on 能让 Nginx（或 Tengine）在反向代理 HTTPS 后端时复用已建立的 TLS 会话，把单次建连耗时从 80–120ms 压缩到 20–40ms，端到端延迟下降超 30%，复用率通常可达 90% 以上。它不是“开了就见效”的开关，而是需要和连接管理、协议协商、证书策略协同工作的关键优化项。

必须放在 upstream 块中才生效

这个指令只在 upstream 上下文中起作用，且仅对 https:// 协议的后端地址有效。常见错误包括：

写在 location 或 server 块里——语法合法但被忽略
后端地址误写为 http://backend:443 或 https://backend:80——协议与端口不匹配，指令不触发
upstream 名称拼错，或 proxy_pass 没指向该 upstream——配置形同虚设

正确写法示例：

Automated daily memory backfill for OpenClaw sessions

抓取并分析 OpenClaw JSONL 会话日志，重建并回填代理记忆文件。适用于：(1) 模型切换后记忆不完整，(2) 验证记忆覆盖度，(3) 重建丢失记忆，(4) 通过 cron/heartbeat 自动同步每日记忆。支持简单提取及基于 LLM 的叙事摘要，并自动清理敏感信息。

下载

upstream api_cluster {
  server api-v1.example.com:443;
  server api-v2.example.com:443;
  keepalive 32;
  proxy_ssl_session_reuse on;
}

三项配套配置缺一不可

SSL 会话复用依赖底层连接稳定和协议一致。光开 proxy_ssl_session_reuse 不够，还需同时满足：

启用 HTTP/1.1 长连接：添加 proxy_http_version 1.1; 和 proxy_set_header Connection "";，避免 Nginx 默认按 HTTP/1.0 行为发送 Connection: close 导致连接被提前关闭
配置 upstream 级 keepalive 连接池：如 keepalive 32;，建议值 ≥20，按后端实例数 × 2～4 设置，太小（如 4）会导致连接快速耗尽
确保 SNI 一致：若后端是多域名共 IP 的 HTTPS 服务，必须开启 proxy_ssl_server_name on;，否则 Nginx 不发送 SNI，后端无法匹配证书，复用失败

影响复用成功率的关键细节

即使所有配置都写对，以下情况仍会让复用率归零：

后端主动断连：例如 Spring Boot 默认 server.tomcat.connection-timeout=20s，而 Nginx keepalive_timeout 设为 60s，连接早被后端关掉，Nginx 拿不到可复用的连接
TLS 版本或加密套件不兼容：比如 Nginx 配了 proxy_ssl_protocols TLSv1.2;，而后端只支持 TLSv1.3，握手直接失败；建议统一设为 TLSv1.2 TLSv1.3
私有 CA 或自签名证书场景：若启用 proxy_ssl_verify on 但证书链缺失或校验不稳定，TLS 握手中断；内部环境调试可临时设 proxy_ssl_verify off，但生产环境务必谨慎
多实例后端未共享 session ticket 密钥：当后端使用 session ticket（如 Envoy、Nginx 自身作后端）时，各实例密钥不同会导致 Nginx 发送的 ticket 无法被其他实例解密

验证是否真正生效

不能只看 Nginx 日志有没有报错，要从行为层面确认：

抓包观察 TLS 握手流程：用 tcpdump 过滤后端端口，对比启用前后——复用成功时只有 Change Cipher Spec + Finished 的简短流程；完整握手则会出现 ClientHello → ServerHello → Certificate → … 多轮交互
统计日志变量：在 log_format 中加入 $upstream_ssl_session_reused，值为 . 表示未复用，r 表示复用，聚合分析比例
监控连接状态：执行 ss -tnp | grep :<backend_port></backend_port>，复用率高时活跃连接数应稳定在 keepalive × worker_processes 附近，而非持续涨落