Kubernetes Ingress SSL性能优化核心是减少TLS握手开销、提升证书加载效率、避免重复解密：启用TLS会话复用与OCSP Stapling，复用Secret并预加载证书，卸载TLS后确保后端使用HTTP通信，调优缓冲区与keep-alive参数。
在 Kubernetes Ingress 中优化 SSL 处理性能，核心是减少 TLS 握手开销、提升证书加载效率、避免重复解密，并合理利用 Nginx Ingress Controller 的原生能力。不依赖额外代理层，关键动作集中在配置调优与资源协同上。
启用 TLS 会话复用与 OCSP Stapling
客户端反复建立 TLS 连接会显著增加延迟和 CPU 消耗。Nginx Ingress Controller 默认支持但需显式开启：
- 在 ConfigMap 中为控制器启用 session cache 和 timeout（例如：
ssl-session-cache shared:SSL:10m，ssl-session-timeout 4h） - 配置
ssl-ocsp-responder和ssl-stapling on，让控制器主动获取并缓存 OCSP 响应，避免客户端直连 CA 验证 - 确保所用证书链完整（含中间证书），否则 OCSP Stapling 可能失败
使用 Secret 复用与证书预加载
每次请求都动态读取 Secret 中的证书会带来 I/O 和解析开销。Nginx Ingress Controller 在启动时已将引用的 TLS Secret 加载进内存，但需注意：
- 避免为每个域名单独创建 Secret；多个域名共用同一张通配符证书时，统一存入一个 Secret，减少对象数量和监听压力
- 更新证书后，Controller 会自动热重载（无需重启 Pod），但需确认
ingress-nginx版本 ≥ 1.2.0（2022 年后版本均支持） - 禁用不必要的证书验证逻辑：如非调试场景，关闭
ssl-verify-client及相关 CA 配置，降低握手复杂度
卸载 TLS 后避免二次加密传输
Ingress 默认执行 TLS 终止（即解密后以 HTTP 转发至 Service）。若后端服务仍强制 HTTPS（如 Spring Boot 配置了 server.ssl），会造成冗余加解密：
- 确保 Service 后端 Pod 使用 HTTP 协议通信，Ingress 到 Pod 之间不走 TLS
- 若必须端到端加密（如合规要求），改用 mTLS + NetworkPolicy 控制 Pod 间流量，而非在应用层重复做 TLS
- 检查 Service 的 targetPort 是否指向应用的 HTTP 端口（如 8080），而非 HTTPS 端口（如 8443）
调优连接与缓冲区参数
高频小请求场景下，TCP 和 SSL 层的缓冲行为直接影响吞吐：
- 通过 ConfigMap 设置
proxy-buffering on、proxy-buffers 8 64k，缓解后端响应慢导致的阻塞 - 增大
ssl-buffer-size（如设为 8k）适配现代 TLS 记录大小，减少分片次数 - 启用
keep-alive并延长超时（upstream-keepalive-timeout≥ 60s），配合客户端复用连接
SSL 性能优化不是堆硬件，而是让 Nginx Ingress Controller 少做无谓操作、快取关键数据、准确定向后端。配置生效后，可通过 openssl s_client -connect example.com:443 -reconnect 验证会话复用是否命中，再结合 Prometheus 中 nginx_ingress_controller_ssl_handshakes_total 指标观察下降趋势。
