启用SSLSessionTickets on并配置稳定密钥是降低移动端重连延迟最有效手段之一，因移动端IP频繁切换，传统服务端缓存失效，而该机制将加密票据交由客户端保存，服务端解密即可复用，iOS/Android原生支持且仅需TLS 1.2+。
直接启用 SSLSessionTickets on 并配好稳定密钥，是降低移动端重连延迟最有效的手段之一。它让客户端自己保管加密票据，网络切换（比如从 Wi-Fi 切到 4G）后无需重新握手，大幅减少 TLS 建立时间。
为什么移动端特别依赖 SSLSessionTickets
移动端网络环境天然不稳定：IP 频繁变化、基站/路由器切换、后台进程断连重连频繁。传统服务端会话缓存（SSLSessionCache）依赖固定 IP 或共享存储，在多机负载或连接漂移时基本失效；而 SSLSessionTickets 把会话状态加密后交给客户端保存，服务端只需解密验证即可复用——这对 iOS 的 NSURLSession、Android 的 OkHttp 和主流 WebView 都原生支持。
注意：该机制仅在 TLS 1.2 及以上生效，且需客户端主动发送 session_ticket 扩展。现代 Android/iOS 系统和浏览器默认开启，无需额外配置。
最小可用且安全的 Apache 配置
Apache 2.4.8+ 默认开启该功能，但默认密钥每次重启重生成，导致票据无法解密，实际退化为全握手。必须手动指定稳定密钥文件：
- 在虚拟主机或全局 ssl.conf 中添加：
SSLSessionTickets on<br>SSLSessionTicketKeyFile /etc/ssl/private/ticket.key
- 生成密钥（仅运行一次）：
openssl rand -out /etc/ssl/private/ticket.key 48 - 设置严格权限：
chmod 600 /etc/ssl/private/ticket.key<br>chown www-data:www-data /etc/ssl/private/ticket.key
（若运行用户为apache，请相应替换） - 密钥文件必须是原始二进制，不能 base64/hex 编码，也不能写进配置里
多机部署与常见失效原因
负载均衡环境下，所有 Apache 节点必须使用**完全相同的 ticket.key**，否则跨节点请求无法解密票据，复用失败。
典型故障现象及排查方向：
- DevTools → Security 显示 “Connection: secure (obsolete TLS version)” → 客户端用了 TLS 1.0/1.1，检查是否已禁用：
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 - 抓包看到 ClientHello 有 session_ticket 扩展，但 ServerHello 没返回 NewSessionTicket → 查看是否有子配置（如 .htaccess 或某 VirtualHost）把
SSLSessionTickets设为 off - 单机测试正常，上线后移动端仍慢 → 检查 LB 是否做了 TLS 终结（如 Nginx 前置），此时票据交换被截断；应让 LB 透传 TLS 扩展，或统一由 LB 管理票据
配合其他优化效果更佳
SSLSessionTickets 是加速重连的关键一环，但不是孤立生效的。建议同步配置：
- 启用高效会话缓存：
SSLSessionCache shmcb:/var/run/ssl_scache(512000)<br>SSLSessionCacheTimeout 300
- 强制 TLS 1.3（Apache ≥ 2.4.37）：
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2 +TLSv1.3 - 开启 OCSP Stapling 减少证书验证延迟：
SSLUseStapling on<br>SSLStaplingCache shmcb:/var/run/ocsp-stapling-cache(128000)
