优化高频tls握手需绑定nginx worker至物理cpu核并调优内核参数：启用worker_cpu_affinity auto配合worker_processes auto实现独占物理核；调整somaxconn、tcp_max_syn_backlog等tcp参数提升连接处理能力；关闭fin_timeout、swappiness等干扰项降低上下文扰动。
高频大体积 TLS 握手（如含完整证书链、OCSP Stapling、ALPN 多协议协商的握手）会显著加重 CPU 负担，尤其在多核环境下，若 Nginx worker 进程被内核调度器频繁迁移，每次迁移都触发完整上下文切换——寄存器保存/恢复、TLB 刷新、L1/L2 缓存失效。实测显示，未绑定时每秒上下文切换（cs）可超 50 万次，L1 缓存命中率从 95% 骤降至 60%，TLS 握手延迟抖动明显放大。优化核心不是压低握手频率，而是让每个 worker 稳定驻留物理核，配合内核层减少握手路径干扰。
绑定 worker 到物理 CPU 核，跳过超线程
Nginx 1.9.10+ 支持 worker_cpu_affinity auto;，自动识别真实物理核心并绕过逻辑核（Hyper-Threading），避免同一物理核上两个 worker 抢占资源。搭配 worker_processes auto;，确保 worker 数量严格等于物理核数。例如 8 核 CPU 将启动 8 个 worker，每个独占一个物理核。验证方式：
– ps -eo pid,comm,psr | grep nginx 查看各 worker 所在 CPU ID 是否稳定
– taskset -cp PID 确认进程绑定状态
– 避免手动写死二进制掩码（如 0001 0010），易出错且无法适配 NUMA 或热插拔场景
调优 TCP 与内存参数，缩短握手路径耗时
TLS 握手本质是密集的 TCP 连接建立 + 加密计算，内核需快速完成 SYN 处理、连接入队、socket 初始化。以下参数直击瓶颈：
– net.core.somaxconn = 65535 和 net.ipv4.tcp_max_syn_backlog = 65535：防止高并发握手时 SYN 包被丢弃，与 Nginx 的 listen ... backlog=65535 对齐
– net.ipv4.tcp_slow_start_after_idle = 0：禁用空闲后重置拥塞窗口，保持长连接下握手后的数据传输带宽
– net.ipv4.tcp_rmem = "4096 65536 8388608"：增大接收缓冲，避免小包重传干扰握手流程
– fs.file-max = 2097152 与 worker_rlimit_nofile 100000：确保足够文件描述符支撑海量 TLS 连接，避免因 open files limit 触发内核重试或拒绝
关闭非必要内核干预，降低握手期间上下文扰动
某些默认开启的安全或兼容性机制，在 TLS 高频场景下反而引入额外开销：
– net.ipv4.tcp_fin_timeout = 30：缩短 FIN_WAIT_2 超时，加速连接回收，减少 TIME_WAIT 堆积对新握手端口分配的影响
– vm.swappiness = 1：严防内存压力触发 swap，避免 TLS 密钥运算时发生页换入换出，引发毫秒级卡顿与调度迁移
– net.ipv4.ip_forward = 0：确认关闭 IP 转发，防止内核协议栈误入转发路径，增加握手处理跳转层级
– 暂不启用 tcp_tw_reuse：该参数对服务端 TLS 握手无效（仅客户端侧生效），Nginx 作反向代理时若上游为短连接客户端才考虑开启
协同验证：不只是看配置是否生效
调优后必须观测真实负载下的行为变化：
– vmstat 1：持续观察 cs（context switch）值，优化后应稳定在 5～10 万/秒以内
– perf stat -e cycles,instructions,cache-misses -p $(pgrep -f "nginx: worker")：对比 cache-misses 比例下降幅度，验证本地缓存驻留效果
– ss -s：检查 total: sockets 与 timewait 数量比值，确认连接生命周期管理正常
– 使用 openssl s_client -connect 批量发起握手，结合 latencytop 定位内核路径中耗时热点
