Nginx原生不支持SSL握手延迟指标，但OpenResty/Tengine可通过$ssl_handshake_time变量结合lua-resty-prometheus实现实时采集与Prometheus监控，兼容方案可用日志解析补足。
在 Nginx 中直接暴露 SSL 握手延迟的原生 Prometheus 指标并不可行，因为 Nginx 官方模块（包括 ngx_http_ssl_module）不提供握手耗时的内置计时点。但可通过组合 Nginx 日志、自定义 Lua 脚本与外部指标导出器，实现近实时、高精度的 SSL 握手延迟采集与可视化。
启用 Nginx 的 $ssl_handshake_time 变量（OpenResty 或 Tengine）
Nginx 开源版不支持 $ssl_handshake_time，但 OpenResty（基于 Nginx + Lua）和部分定制发行版（如 Tengine）已扩展该变量，记录从 TCP 连接建立到 TLS 握手完成的时间（单位：秒，精度为毫秒级）。
- 确认使用的是 OpenResty ≥ 1.21.4.2 或 Tengine ≥ 2.3.3；执行
nginx -V 2>&1 | grep -o 'openresty'验证 - 在 server 块中启用日志格式，例如：
log_format ssl_metrics '$remote_addr - $remote_user [$time_local] ' '"$request" $status $body_bytes_sent ' '"$http_referer" "$http_user_agent" ' '$ssl_protocol "$ssl_cipher" $ssl_handshake_time;' - 将该格式用于 access_log，并确保启用了 SSL：
access_log /var/log/nginx/ssl_metrics.log ssl_metrics;
用 nginx-lua-prometheus 导出实时直方图指标
仅靠日志无法满足“实时”要求（日志需轮转、解析、聚合）。更优方案是利用 lua-resty-prometheus 在请求生命周期内直接打点。
- 在
http块中初始化 Prometheus registry 和直方图：lua_shared_dict prometheus_metrics 10M; lua_package_path "/path/to/lua-resty-prometheus/lib/?.lua;;"; init_worker_by_lua_block { prometheus = require("prometheus").init("prometheus_metrics") ssl_handshake_hist = prometheus:histogram( "nginx_ssl_handshake_seconds", "SSL handshake duration in seconds", {"server_name", "protocol", "cipher"}, {0.005, 0.01, 0.025, 0.05, 0.1, 0.25, 0.5, 1.0} ) } - 在
server块中，在 SSL 握手完成后（即ssl_certificate_by_lua*或access_by_lua*阶段）记录指标：ssl_certificate_by_lua_block { if ngx.var.ssl_handshake_time then local sn = ngx.var.server_name or "unknown" local proto = ngx.var.ssl_protocol or "unknown" local cipher = ngx.var.ssl_cipher or "unknown" ssl_handshake_hist:observe(tonumber(ngx.var.ssl_handshake_time), {sn, proto, cipher}) end } - 暴露指标端点（如
/metrics）：location /metrics { content_by_lua_block { prometheus:collect() } }
配置 Prometheus 抓取并构建 Grafana 面板
确保 Prometheus 的 scrape_config 正确指向 Nginx 所在地址与 /metrics 路径，抓取间隔建议 ≤ 15s 以保障“实时性”。
- 在 Prometheus 中验证指标存在：
nginx_ssl_handshake_seconds_sum{job="nginx"} / nginx_ssl_handshake_seconds_count{job="nginx"}→ 计算平均延迟 - 常用 Grafana 查询示例：
– P95 握手延迟：histogram_quantile(0.95, sum(rate(nginx_ssl_handshake_seconds_bucket[5m])) by (le, server_name))
– 按协议分布：sum by (protocol) (rate(nginx_ssl_handshake_seconds_count[1h]))
– 异常长尾（>200ms）请求数：sum(rate(nginx_ssl_handshake_seconds_bucket{le="0.2"}[5m])) by (server_name) - 推荐面板维度：按
server_name、ssl_protocol、ssl_cipher切分，叠加时间序列与热力图（Heatmap）展示延迟分布变化
替代方案：被动采集 access_log + logstash/exporter（适用于标准 Nginx）
若无法升级至 OpenResty，可借助日志解析链路补足：
- 启用带
$upstream_connect_time（对上游）或自定义时间戳的 access_log，或使用lua-log-socket在ssl_certificate_by_lua中写入带毫秒精度的握手完成时间 - 用
mtail或filebeat + ingest pipeline解析日志，提取ssl_handshake_time字段，转换为 Prometheus 格式（如通过prometheus-textfile-collector写入临时文件） - 此方式延迟约 5–30 秒，非严格实时，但兼容所有 Nginx 版本，适合过渡或审计场景
