如何利用 Nginx 的 $ssl_reuse 记录验证 SSL 会话复用的实际效果-Nginx-PHP中文网

nginx 中判断 ssl 会话复用状态的正确变量是 $ssl_session_reused（客户端到 nginx）和 $upstream_ssl_session_reused（nginx 到后端），值为 r 表示复用成功、. 表示新建；二者不可混用，$ssl_session_id 仅是客户端发送的 id 字符串，不能反映实际复用状态。

如何利用 nginx 的 $ssl_reuse 记录验证 ssl 会话复用的实际效果

Nginx 并没有 $ssl_reuse 这个变量。真正用于记录 SSL 会话复用状态的是 $ssl_session_reused（客户端到 Nginx）和 $upstream_ssl_session_reused（Nginx 到后端 HTTPS 服务）。混淆变量名会导致日志为空、统计失真，甚至误判优化效果。

要真实验证 SSL 会话复用是否生效，必须用对变量、配对日志、结合行为观测，不能只看配置写了没。

注意：$ssl_session_id 不可用于判断是否复用成功——它只是客户端发来的 Session ID 字符串，不反映服务端是否实际复用了该会话。

正确采集复用状态的变量与含义

$ssl_session_reused
适用于 Nginx 自身作为 HTTPS 服务端（即用户直连 Nginx 的 443 端口）
值为 r 表示复用成功，.（英文句点）表示新建会话
$upstream_ssl_session_reused
仅在 proxy_pass https://... 场景下有效，表示 Nginx 与后端 HTTPS 服务之间是否复用 TLS 会话
同样：r = 复用，. = 新建
二者互不替代，也不能混用。例如：你看到 $ssl_session_id 非空，但 $upstream_ssl_session_reused 是 .，说明客户端想复用，但 Nginx 和后端之间没复用成功——问题在 upstream 配置或后端响应。

配置日志格式并启用统计

在 http 块中定义带复用标识的日志格式：

log_format ssl_debug '$remote_addr - $remote_user [$time_local] "$request" '
                     '$status $body_bytes_sent "$http_referer" '
                     '"$http_user_agent" "$http_x_forwarded_for" '
                     'ssl_reused=$ssl_session_reused '
                     'upstream_ssl_reused=$upstream_ssl_session_reused '
                     'ssl_session_id="$ssl_session_id"';

然后在对应 server 或 location 块中启用：

access_log /var/log/nginx/ssl_access.log ssl_debug;

重启 Nginx 后，访问日志会出现类似行：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

192.168.1.100 - - [10/May/2026:06:15:22 +0000] "GET /api/v1/user HTTP/2.0" 200 124 "-" "curl/8.10.1" "-" ssl_reused=r upstream_ssl_reused=r ssl_session_id="a1b2c3..."

从日志中快速统计复用率

用 awk 统计最近 1 万条请求的复用比例（以 $ssl_session_reused 为例）：

tail -n 10000 /var/log/nginx/ssl_access.log | \
awk '{for(i=1;i

复用率长期低于 60%，需检查 ssl_session_cache 容量或 ssl_session_timeout 是否过短
若 upstream_ssl_reused 大量为 .，但 ssl_reused 是 r，说明客户端到 Nginx 复用正常，问题出在代理链路上

交叉验证：不止看日志，还要看连接行为

抓包确认（Wireshark 或 tcpdump）：过滤后端目标端口，观察 TLS 握手流程
- 完整握手：Client Hello → Server Hello → Certificate → Server Key Exchange → …（4–5 轮 RTT）
- 复用成功：Client Hello（含 Session ID 或 ticket）→ Server Hello（含相同 Session ID）→ Change Cipher Spec → Finished（1–2 RTT）
查看活跃连接数稳定性：
```
ss -tnp | grep :443 | grep nginx | wc -l
```
若启用了 keepalive 32 且复用率高，该数值应稳定在 32 × worker_processes 附近，而非频繁波动
开启 debug 日志临时排查：
```
error_log /var/log/nginx/debug.log debug;
```
搜索关键词 SSL reused session 或 SSL new session，直接定位复用决策点