Nginx集群中启用ssl_session_tickets可实现无状态TLS会话复用，无需共享缓存或外部组件；只需各节点配置相同48字节密钥，客户端携带加密票据即可被任意节点解密复用，天然支持横向扩展。

在 Nginx 集群中启用 ssl_session_tickets，是实现真正无状态 TLS 会话复用的最简高效方式。它不依赖共享缓存、不引入外部组件（如 Redis），只要所有节点使用相同的票据密钥，客户端携带的加密票据就能被任意节点解密并恢复会话。

为什么选 session tickets 而不是 ssl_session_cache？

ssl_session_cache 是服务端有状态缓存：所有 worker 进程共享一块内存区域（如 shared:SSL:50m），但该区域容量有限，高并发下易溢出，导致全握手、CPU 暴涨；且多节点集群中必须额外同步缓存内容，否则跨节点请求无法复用。

session tickets 是服务端无状态机制：Nginx 将会话参数加密后直接下发给客户端，后续请求由客户端原样带回。只要各节点配置了相同密钥，就能独立解密——天然支持横向扩展，无需任何状态同步。

二者不互斥，可共存作为互补：tickets 处理跨节点复用，cache 优化同节点高频复用。

关键配置步骤（集群必备）

确保所有 Nginx 实例执行以下操作：

Browser Session Manager

使用 Playwright 为 jimeng.jianying.com 管理浏览器会话，导入 cookies/localStorage 以自动化视频生成工作流，支持图片上传等功能

下载

• 生成唯一 48 字节密钥：openssl rand 48 > /etc/nginx/ticket.key（必须严格 48 字节，不可重复）
• 将密钥文件分发到每台机器相同路径，并设为仅 root 可读：chmod 400 /etc/nginx/ticket.key
• 在 http 或 server 块中启用并指定密钥：
  ssl_session_tickets on;
ssl_session_ticket_key /etc/nginx/ticket.key;
• 重启 Nginx（注意：nginx -s reload 在部分版本中不重载票据密钥，需 systemctl restart nginx 或 kill + restart）

安全增强：多密钥轮换实践

生产环境不应长期使用单密钥。Nginx 支持最多加载 10 个密钥文件，按配置顺序优先级递减：

• 最新密钥（第一个）用于加密新票据
• 全部密钥均可解密旧票据，保障滚动更新期间旧会话仍可复用
• 示例配置：
  ssl_session_ticket_key /etc/nginx/ticket.key.v2;
ssl_session_ticket_key /etc/nginx/ticket.key.v1;
• 轮换时：生成 v3 密钥 → 更新配置并重启 → 几天后下线 v1（确保其加密的票据已过期）

验证是否生效的实操方法

不用抓包，一条命令即可确认：

• 首次连接（建立新会话）：
  openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | grep "New, TLS"
• 二次连接（带票据重试）：
  openssl s_client -connect example.com:443 -reconnect -servername example.com 2>/dev/null | grep "Reused, TLS"

若第二次输出含 Reused, TLS，说明票据复用成功。也可检查输出中 Session-ID: 为空、Session-ID-ctx: 为空——这是票据模式的典型标志，区别于 cache 模式下的非空 Session-ID。

常见失效原因排查

若复用失败，优先检查：

• 各节点密钥文件内容是否完全一致（sha256sum /etc/nginx/ticket.key 对比）
• 密钥文件权限是否为 400，Nginx worker 进程能否读取（查看 error.log 是否报 open() "/etc/nginx/ticket.key" failed (13: Permission denied)）
• 是否误在多个 server 块中重复启用 ssl_session_tickets on（虽不报错，但易引发配置混乱）
• 客户端是否禁用了 session tickets（极少见，现代浏览器默认开启）