openssl性能优化ubuntu怎么实现

Ubuntu 上 OpenSSL 性能优化实操指南

一 硬件与内核层优化

• 启用 CPU 指令集加速：优先确保 CPU 支持并开启 AES-NI。可用命令验证：grep -m1 -o aes /proc/cpuinfo；在 OpenSSL 中通过基准测试对比差异，例如：openssl speed -elapsed -evp aes-128-cbc 与 OPENSSL_ia32cap=“~0x200000200000000” openssl speed -elapsed -evp aes-128-cbc，后者屏蔽 AES-NI，吞吐通常会下降约一半。若使用 VIA PadLock 等引擎，需确保相应 OpenSSL 引擎可用。对于具备硬件加速引擎的平台，OpenSSL 通常可直接受益。
• 可选的内核加速路径：除 CPU 指令集外，可通过内核 CryptoAPI 使用硬件模块。用户态应用可通过两种方式接入：1）cryptodev 驱动（/dev/crypto），需在 OpenSSL 编译时加入 -DHAVE_CRYPTODEV -DUSE_CRYPTODEV_DIGESTS 并加载 cryptodev 模块；2）AF_ALG 接口（自 Linux 2.6.38 起），OpenSSL 提供 AF_ALG 插件以利用内核加速。两者适合无 AES-NI 或需统一调用内核多算法实现的场景。

二 OpenSSL 编译与引擎配置

• 保持与升级到较新稳定版：优先使用 最新稳定版 OpenSSL，其通常包含性能修复与新算法实现。Ubuntu 22.04 可在不影响系统库的前提下并行安装高版本，例如安装到 /usr/local/openssl 并配置库路径与引擎目录，便于验证与回滚。
• 编译选项要点：使用汇编优化（默认启用）与合适指令集，例如 ./config --prefix=/usr/local/openssl --openssldir=/usr/local/openssl shared zlib；按需禁用不需要的算法（如 no-idea、no-rc4 等）以减小体积与提升加载速度。
• 引擎与硬件加速：确认引擎目录（ENGINESDIR）与应用加载路径一致；如使用 cryptodev 或 AF_ALG，需在编译或运行时正确启用并指定引擎。基准测试示例：openssl speed -evp aes-128-cbc -engine cryptodev -elapsed（cryptodev 场景）。

三 服务端应用配置优化（以 Nginx 为例）

• 协议与套件：优先启用 TLSv1.3，仅保留高效套件，例如：ssl_protocols TLSv1.3; ssl_ciphersuites TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256; ssl_prefer_server_ciphers on;
• 会话复用：开启会话缓存与合理超时，例如：ssl_session_timeout 1d; ssl_session_cache shared:MozSSL:10m;
• 证书链与 OCSP Stapling：合并完整证书链以减少往返；启用 OCSP Stapling 降低验证延迟，例如：ssl_stapling on; ssl_stapling_verify on; ssl_trusted_certificate /path/to/chain.pem; resolver DNS_SERVER;
• 并发与多核：在多线程服务中，按需设置 OpenSSL 多线程支持（如 SSL_CTX_set_num_threads），并配合应用层线程池/多进程充分利用多核。
• 压缩：若 CPU 成为瓶颈且业务允许，可考虑关闭 TLS 压缩（现代浏览器多已弃用，收益有限）。

四 系统与网络栈优化

• TCP 快速打开：在客户端与服务端启用 TCP Fast Open（如 net.ipv4.tcp_fastopen=3），减少握手往返。
• 缓冲区与队列：适度增大网络缓冲与队列，例如 net.core.netdev_max_backlog，缓解突发流量丢包与重传。
• 连接复用：启用 TIME_WAIT 复用（如 net.ipv4.tcp_tw_reuse=1），加速短连接回收与复用。
• 调优顺序建议：先测基线（吞吐、P95/P99 延迟、CPU/SSL 占用），再逐项小步调整并复测，避免一次性改动过多参数。

五 验证与回归测试

• 基线测试：使用 OpenSSL 基准工具建立对照，例如：openssl speed -elapsed -evp aes-128-cbc（可加 -engine cryptodev 或设置 OPENSSL_ia32cap 屏蔽 AES-NI 做 A/B 对比）。
• 应用层压测：用 wrk/ab/h2load 等模拟真实请求，关注 TPS、P95/P99 延迟、握手耗时、CPU 使用率 与错误率。
• 在线验证：检查运行时是否启用硬件加速与预期引擎，例如：openssl engine -t（列出可用引擎并测试）；必要时用 ldd/pmap 确认应用加载的 OpenSSL 动态库路径与版本。
• 变更管控：所有优化先在测试环境验证，再灰度上线，保留回滚方案。