如何利用 TCP Fast Open 优化高并发下的首个数据包传输速度-Nginx-PHP中文网

tcp快速打开（tfo）允许在syn包中捎带应用数据以节省1个rtt，依赖服务端签发并由客户端缓存的加密cookie验证身份，linux需内核≥3.7、启用config_tcp_fastopen、sysctl设置net.ipv4.tcp_fastopen为1/2/3，并注意仅短连接受益及防火墙兼容性。

如何利用 tcp fast open 优化高并发下的首个数据包传输速度

TCP Fast Open（TFO）不能“绕过”三次握手，但能让首次完成握手后的**下一次连接**在 SYN 包中直接携带应用数据，从而节省一个 RTT。它对高并发场景下首个有效数据包的传输速度提升显著——前提是服务端、客户端、内核和应用层全部协同就绪。

确认系统与内核支持

TFO 要求 Linux 内核 ≥ 3.7（客户端）或 ≥ 3.13（服务端），主流发行版（如 Ubuntu 20.04+/CentOS 8+/AlmaLinux 9）默认已启用相关功能。验证方式：

运行 cat /proc/sys/net/ipv4/tcp_fastopen，返回值为 1（仅客户端）、2（仅服务端）或 3（双向启用）才表示内核层已开启
若输出为 0，需临时启用：echo 3 > /proc/sys/net/ipv4/tcp_fastopen
永久生效：在 /etc/sysctl.conf 中添加 net.ipv4.tcp_fastopen = 3，再执行 sysctl -p；CentOS 7 等旧系统建议额外运行 systemctl restart systemd-sysctl 防止延迟加载

服务端必须显式启用 TFO Socket 选项

内核参数开启只是基础，服务端应用必须在监听 socket 上调用 setsockopt(..., IPPROTO_TCP, TCP_FASTOPEN, &qlen, sizeof(qlen))，否则客户端发来的 TFO 请求会被静默忽略。

Nginx ≥ 1.15.5 默认支持，但需在 listen 指令中显式加 fastopen=256（如：listen 443 ssl http2 fastopen=256;）
OpenSSL 应用（如自研 HTTPS 服务）需使用 OpenSSL ≥ 1.1.1，并在 SSL_CTX_new 后调用 SSL_CTX_set_options(ctx, SSL_OP_ENABLE_TFO)
Go 程序需使用 Go ≥ 1.13，且监听时设置 &net.ListenConfig{Control: setTFO}；Rust 的 tokio 或 smol 需依赖对应版本的 mio 支持

客户端需正确触发 TFO 流程

TFO 效果依赖「Cookie 复用」：首次连接仍走完整三次握手并获取 Cookie；后续同源（相同四元组）连接才能在 SYN 中带数据。

C/C++ 客户端应使用 sendto(fd, data, len, MSG_FASTOPEN, ...) 替代 connect() + send()；注意 glibc ≥ 2.23 才支持 MSG_FASTOPEN
curl ≥ 7.49.0 默认启用 TFO（自动处理 Cookie 缓存），可用 curl -v --tcp-fastopen https://example.com 验证
压测时避免单次连接即退出，应复用 client IP 和端口，连续发起多次请求（如用 wrk -t4 -c100 -d30s --tcp-fastopen），否则无法观察到 RTT 节省效果

验证是否真正生效

光看配置不等于起效。真实生效需同时满足：内核开启 + 服务端 socket 启用 + 客户端 sendto 带 MSG_FASTOPEN + 同一 client IP 多次连接。

抓包验证：用 tcpdump -i any 'tcp[tcpflags] & (tcp-syn|tcp-ack) != 0' 观察第二次连接的 SYN 包是否含数据（Wireshark 中显示为 "[TCP Fast Open]"）
检查服务端日志：Nginx 开启 error_log /var/log/nginx/error.log debug; 后，成功接收 TFO 数据会打印 "client sent data in SYN"
对比耗时：用工具（如 tfo-bench）在同一网络条件下分别测传统连接 vs TFO 连接的首字节时间（TTFB），优化幅度通常为一个 RTT（例如从 80ms → 40ms）