nginx https硬件加速生效需三层协同：内核驱动（qat模块加载、numprocesses≥worker数）、openssl引擎（≥1.1.1、qat可用）、nginx配置（ssl_async on、ssl_engine qat、多线程编译），缺一不可。
Nginx 本身不直接处理硬件加速，真正起作用的是 OpenSSL 层与底层加速设备（如 Intel QAT、AES-NI）的协同。优化目标很明确：让 TLS 握手和记录加解密尽可能卸载到硬件，避免 CPU 空转等待私钥运算。关键不在“加了卡”，而在“路径通、引擎启、配置对”。
确认硬件与 OpenSSL 支持基础
必须先验证底层是否具备加速能力，否则所有配置都无效：
- 检查 AES-NI 是否启用：
grep -o aes /proc/cpuinfo | wc -l，输出大于 0 表示支持 - 验证 QAT 驱动与服务已运行：
lsmod | grep qat+systemctl is-active qat_service - 确认 OpenSSL 版本 ≥ 1.1.1（推荐 3.0+），并已编译启用 async 和 engine 支持
- 运行
openssl engine -t -c qat，输出含 “available” 才说明引擎加载成功
编译 Nginx 时绑定加速能力
静态链接更可控，避免运行时版本错配：
- 指定自定义 OpenSSL 路径：
--with-openssl=/path/to/openssl-3.0.x - 启用线程与 SSL 模块：
--with-http_ssl_module --with-threads - 若需显式启用 async：添加
--with-openssl-opt=enable-async（OpenSSL ≥ 1.1.1） - 编译后用
nginx -V 2>&1 | grep -i openssl确认链接路径和选项
Nginx 配置中激活加速链路
仅靠 ssl_engine qat; 不够，必须配合 OpenSSL 异步模式与 Nginx 进程模型：
- 在
http { }块中全局启用：ssl_engine qat; - 开启异步处理（Nginx ≥ 1.15.0）：
ssl_async on; - 配合多线程 worker（非默认）：
worker_processes auto;+worker_cpu_affinity auto; - 若使用 OpenSSL 3.0+，可改用 provider 方式：
ssl_conf_command Providers "qat,base";
配套调优确保加速生效
硬件加速只解决私钥运算瓶颈，其他环节仍可能拖慢整体吞吐：
- 强制 TLSv1.3：
ssl_protocols TLSv1.3;（跳过 RSA 密钥交换，天然适配 ECDHE + 硬件签名） - 精简套件，聚焦硬件友好算法：
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256; - 关闭 session ticket：
ssl_session_tickets off;（避免软件侧加密/解密票据密钥） - 会话缓存用 shared 类型：
ssl_session_cache shared:SSL:20m; ssl_session_timeout 4h;（提升复用率，减少握手触发）
验证加速是否真实生效
不能只看配置是否存在，要观察实际行为：
- 查看 QAT 设备队列状态：
cat /sys/kernel/debug/qat_dev0/accel/0000:03:00.0/algs（有活跃计数即工作） - 对比
openssl speed rsa2048与openssl speed -engine qat rsa2048，后者 ops/sec 应显著提升（理想 > 3000） - 监控
nginx -s reload后 error.log 是否报QAT: failed to init或async mode not enabled类错误 - 高并发压测时，
top中 nginx worker 的 %sy（系统态）应明显下降，%us（用户态）稳定，说明内核/驱动调度正常
不复杂但容易忽略
