Nginx SSL在Debian上的性能调优技巧

Nginx SSL 在 Debian 的性能调优要点

一 基础与协议栈优化

• 启用 HTTP/2 提升多路复用与头部压缩，减少连接开销：listen 443 ssl http2。
• 仅启用现代协议：ssl_protocols TLSv1.2 TLSv1.3；优先服务器端套件：ssl_prefer_server_ciphers on。
• 使用强套件并兼顾性能（优先 ECDHE + GCM，必要时补充 ChaCha20-Poly1305 以适配移动端）：
  ssl_ciphers ‘ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384’;
• 生成并指定 DH 参数（2048 位或更高）：ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem。
• 开启 OCSP Stapling 减少客户端证书状态往返：ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 8.8.4.4 valid=300s; resolver_timeout 5s。
• 启用 HSTS 强制 HTTPS：add_header Strict-Transport-Security “max-age=31536000; includeSubDomains” always。

二 会话复用与会话票据

• 打开 SSL 会话缓存 复用握手结果：ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m。
• 视客户端兼容与运维策略决定是否关闭 会话票据（关闭可减少状态同步与潜在攻击面，开启可进一步降低握手开销）：ssl_session_tickets off。

三 连接与资源调优

• 调整 worker_processes 与 worker_connections 提升并发：worker_processes auto; worker_connections 1024（结合内存与文件描述符上限再上调）。
• 开启 长连接 减少 TCP/SSL 握手次数：keepalive_timeout 65; keepalive_requests 100。
• 启用 Gzip 降低传输体积：gzip on; gzip_vary on; gzip_proxied any; gzip_comp_level 6; gzip_buffers 16 8k; gzip_http_version 1.1; gzip_min_length 256。
• 静态资源设置 Cache-Control/Expires 减少重复传输与握手：location ~* .(jpg|jpeg|png|gif|ico|css|js)$ { expires 30d; add_header Cache-Control “public, no-transform”; }。

四 系统与内核参数

• 提升 backlog 与本地端口范围以支撑高并发短连接：
  net.core.somaxconn 65535; net.ipv4.tcp_max_syn_backlog 65535; net.ipv4.ip_local_port_range 1024 65535。
• 加速 TIME_WAIT 回收与缩短回收时间：net.ipv4.tcp_tw_reuse 1; net.ipv4.tcp_fin_timeout 30。
• 提升 文件描述符 上限（需重启会话生效）：在 /etc/security/limits.conf 增加 * soft/hard nofile 65535。

五 部署与验证清单

• 获取并自动续期证书：sudo apt install certbot python3-certbot-nginx; sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com。
• 配置语法检查与平滑重载：sudo nginx -t && sudo systemctl reload nginx。
• 验证 OCSP Stapling：echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -status 2>/dev/null | grep -A 17 ‘OCSP response’。
• 验证 HTTP/2 与 ALPN：curl -I --http2 https://yourdomain.com | grep -i http。
• 定期演练续期：sudo certbot renew –dry-run；并监控 access/error 日志与证书到期时间。