如何调整Nginx的proxy_ssl_session_reuse参数以大幅提高HTTPS连接后端复用效率？

本文共计744个文字，预计阅读时间需要3分钟。

启动 `proxy_ssl_session_reuse` 能显著减少 Nginx 与后端服务器之间的 SSL 会话建立次数，从而提高性能。

确保后端支持并正确暴露会话票据或会话 ID

Nginx 复用 SSL 会话的前提是后端服务器（如另一台 Nginx、Tomcat、Spring Boot 等）本身支持会话恢复，并且在首次握手时返回了有效的 Session ID 或 Session Ticket。

• 后端需启用 TLS 会话缓存（如 Nginx 后端配 ssl_session_cache shared:SSL:10m 和 ssl_session_timeout 4h）
• 若后端禁用了会话票据（ssl_session_tickets off），Nginx 仍可基于 Session ID 复用，但要求后端保持会话缓存不被清空
• 避免后端使用短超时（如 ssl_session_timeout 30s），否则 Nginx 发起重连时会因缓存失效而被迫新建会话

在 proxy_pass 上下文中显式开启并配合连接池参数

proxy_ssl_session_reuse 必须放在 location 或 upstream 块中，且仅对 https:// 协议的 proxy_pass 生效。单独在 http 块设为 on 不起作用。

• 推荐写法（在 location 内）：
  proxy_ssl_session_reuse on;
• 搭配长连接控制：
  proxy_http_version 1.1;
  proxy_set_header Connection '';（防止后端关闭 keepalive）
• 若使用 upstream，建议开启连接复用池：
  keepalive 32;（每个 worker 进程缓存 32 个空闲连接）

避免干扰复用的常见配置陷阱

一些看似无关的设置会隐式破坏 SSL 会话复用，导致 proxy_ssl_session_reuse 形同虚设。

• 禁用 proxy_ssl_verify 或设为 off：若开启证书校验但后端证书链不完整或域名不匹配，Nginx 会拒绝复用已缓存的会话
• 频繁更换 proxy_ssl_protocols 或 proxy_ssl_ciphers：不同 cipher suite 生成的会话不可互换，应固定为稳定组合（如仅 TLSv1.2+ 和 ECDHE 系列）
• 在 upstream 中混用 HTTP/HTTPS 后端：SSL 会话缓存按后端地址+端口+协议隔离，https://api1:443 和 https://api2:443 的会话不共享

验证复用是否真实生效

不能只看配置是否写上，要通过日志和指标确认效果：

• 开启 Nginx debug 日志（error_log /path/to/log debug;），搜索 "SSL reused session" 或 "SSL new session" 行数对比
• 用 openssl s_client -connect backend_ip:443 -reconnect -servername example.com 手动测试后端是否返回 Reused session-id
• 监控 nginx_stub_status 中活跃 HTTPS 连接数与新建连接速率比值——复用率高时，后者应明显低于前者