nginx 不因 tls 分片直接报错，但分片引发的握手退化、缓存满、连接堆积等会导致 worker rss 持续上涨及 signal 9 被 oom killer 终止；需重点排查 ssl_session_cache 配置失当、$ssl_session_reused 命中率低、ssl_do_handshake() failed 集中出现等间接线索，并结合 dmesg 与 error.log 时间戳交叉验证。
Nginx 本身不会因 TLS 记录层分片（TLS Record Layer Fragmentation）直接报错或崩溃，更不会在 error.log 中出现“TLS 分片导致内存溢出”这类明确提示。这是因为 TLS 记录层的分片与重组由 OpenSSL（或系统 TLS 库）底层完成，Nginx 仅调用其 API 做握手和加解密，不参与分片逻辑控制，也无日志暴露该层级细节。
真正需要关注的，是分片行为在高并发、弱网络或异常客户端下引发的间接内存压力现象——比如大量小包触发频繁 TLS 握手退化、缓冲区堆积、连接未及时释放等，最终表现为 worker RSS 持续上涨、signal 9 被 OOM killer 终止等典型内存溢出信号。
以下是实用排查路径：
确认是否真由 TLS 层行为引发内存异常
不要假设分片是元凶，先排除其他常见诱因：
- 执行
ps -o pid,rss,comm -C nginx查看各 worker RSS 是否单边持续增长（如 2 小时内 >300MB 且不回落） - 运行
dmesg | grep -i "killed process nginx"确认内核是否触发 OOM Killer - 检查
error.log是否同步存在worker process X exited on signal 9或Killed字样，并比对时间戳
若以上成立，再聚焦 TLS 相关配置与行为线索：
检查 ssl_session_cache 配置是否失当
这是最常被误配、且极易放大 TLS 层内存开销的项：
- 多个
server{}块重复定义同名ssl_session_cache shared:SSL:xxm→ Nginx 合并时会倍增共享内存申请量 -
ssl_session_timeout设得过大（如 4h），但实际会话复用率低（通过$ssl_session_reused统计可验证）→ 缓存长期滞留无效条目，占用大量共享内存 + 堆内存 - 实际峰值新建 HTTPS 连接数（QPS）被低估：例如实测 1500 新会话/秒，timeout=1200s，按公式
1500 × 1200 × 0.5KB ≈ 900MB，却只配了shared:SSL:256m→ cache 快速填满，强制退化为全握手，CPU 和堆内存双双飙升
建议操作：
- 删除所有
server{}内的ssl_session_cache，只保留在http{}顶层一次 - 重算合理值：取业务真实 新建 TLS 连接 QPS（非总请求 QPS），乘以 timeout（推荐 600–1200 秒），再乘以 0.5KB
- 向上取整到 64m / 128m / 256m 步进，避免碎片
识别 TLS 握手异常带来的内存副作用
这些 error.log 线索不提“分片”，但高度指向 TLS 层资源失控：
- 集中出现
SSL_do_handshake() failed（尤其集中在少数几个 worker）→ 可能因 session cache 满、ticket 解密失败或客户端反复重试握手，导致临时堆内存高频分配未回收 - 大量
upstream timed out (110: Connection timed out) while SSL handshaking to upstream→ 若后端是另一个 Nginx 或支持 TLS 的服务，说明握手链路过长或超时设置不合理，连接卡在 handshake 阶段，缓冲区持续驻留 - 开启 debug 日志后，
SSL_new,SSL_free,pool alloc类日志激增 → 表明 TLS 对象创建/销毁频率异常高，堆内存压力显著
辅助验证：用 tcpdump + OpenSSL 工具观察真实分片行为
仅当怀疑客户端或中间设备（如负载均衡器、防火墙）强制分片干扰时使用：
- 抓包命令：
tcpdump -i any -w tls-frag.pcap port 443 and host <client_ip></client_ip> - 用 Wireshark 打开，过滤
tls.record.length ，观察是否存在大量极小 TLS 记录（<li>注意：这本身不构成错误，但若伴随大量重传、重复 ACK 或 <code>ChangeCipherSpec异常序列，则可能加剧 Nginx 内存负担（因需维护更多半开连接状态）
不复杂但容易忽略。
