NGINX HTTPS 性能优化

[yuyuyu]

我有几万的客户端 HTTPS 连接到 NGINX，服务器的 CPU 负载特别高，都是短连接，在我改成 HTTP 以后 CPU 下降了很多，所以确定是 HTTPS 握手性能有问题，有什么办法优化吗？短连接现在没法改成长连接

[vibbow]

好歹说一下当前配置把。

[yuyuyu]

@vibbow 4CPU8G
先看能不能优化，实在没啥好优化的话就只能加配置了

[john22eclipse]

SSL 加速卡，了解一下

[lostberryzz]

前面套 CDN，HTTP 回源

[zengxs]

贴一下配置？ 这种感觉可以从 ciphers 和 ssl session 来优化，还有 keepalive 或者 http2 连接复用

[yuyuyu]

@lostberryzz 不行，动态数据

@zengxs 还有很多老客户端都是 http1.1

[xnplus]

lnmpa?静态 ng，其他用相应的

[cloverstd]

前面套个 SLB，SLB 用来卸载证书，SLB 到你服务长连

[zengxs]

@yuyuyu #6 老客户端会 fallback 到 http/1.1 的，不会影响兼容性

[saytesnake]

http2，ssl_session_cache 调大一点，优先 ChaCha20 -Poly1305

[lostberryzz]

@yuyuyu 动态数据也能用 CDN，各大云厂商都有对应的产品

[vibbow]

@yuyuyu 4CPU8G 这不算配置 （性能上下范围太大）

[v2020]

指定强制 aes128 的别用 aes256 算法

[0ZXYDDu796nVCFxq]

试下更换证书为 ECC

[0ZXYDDu796nVCFxq]

@gstqc 补充一下：
nginx 支持 ECC RSA 双证书，会根据客户端自动选择更优的证书
ECC 在握手性能上要远好于 RSA
目前绝大部分客户端都支持 ECC 证书

[Rezark]

调用第三方加密机进行签名运算

[kennylam777]

1. ECC
2. TLS 1.3 的 ChaCha20-Poly1305
3. 上 HTTP2 保證長連接
4. 看配置是雲機器吧, 不如先查一下 /proc/cpuinfo 有沒有 AES-NI

[drupal]

楼上挺多的,再给你提供一个参考
gzip 只针对 http 压缩
brotili 可以针对 https 压缩.