SSL卸载必须独立为专用节点，以解决加密流量导致的策略不可见、负载不可控、权责不清晰三大结构性矛盾，并支撑SNI分流等四层能力。
在大规模集群中，SSL 卸载不能只是 Nginx 配置里的一个 ssl on 开关，而必须独立为专用节点——不是为了“省几核 CPU”，而是解决加密流量带来的结构性矛盾：策略不可见、负载不可控、权责不清晰。
一、没有卸载，负载均衡就退化成盲转
HTTPS 把整个 HTTP 请求（Host、Cookie、URI、Header）全部加密，后端收到的是密文流。此时，Nginx 若不做 SSL 终止，就只能在 TCP 层做随机转发：
- 按
Host头分流灰度或多租户流量 → 完全失效 - 用
Cookie或ip_hash做会话保持 → 无法读取原始 Cookie 字段 - 识别
?debug=1参数导向调试集群 → 解析不到查询参数
结果是调度策略全面失灵，AB 测试跑不通、故障定位靠猜、扩容反而放大雪崩风险。只有把 SSL 终止在前置节点，才能让后续所有基于内容的路由、限流、鉴权逻辑真正生效。
二、TLS 计算天然不均衡，分散处理等于埋雷
TLS 握手（尤其是 RSA 密钥交换）、OCSP Stapling 验证、证书链校验等操作，CPU 消耗高、延迟波动大。当这些任务散落在几十上百台异构后端上时：
- Java 应用与 Node.js 实例的 TLS 处理能力差异可达 5 倍以上
- 某台机器证书续期失败或 OCSP 配置遗漏，会导致其握手成功率骤降，但健康检查仍认为它“活着”
- TLS 1.2 和 1.3 混用时，兼容性逻辑进一步拉大各节点 CPU 负载方差
统一收口到专用 SSL 卸载节点，等于用一个可监控、可扩缩、配置强一致的组件，替代 N 个难以对齐的 TLS 终端。
三、安全边界与运维责任必须对齐
SSL 不只是加解密，还承载着 HSTS、证书透明度（CT）、密钥轮换、协议降级防护等安全策略。如果每台后端各自管理证书和 TLS 配置：
- 某台机器漏配
ssl_ciphers，暴露弱套件，整站 HTTPS 安全等级被拉低 - 私钥分散部署，审计困难，泄露风险倍增
- 安全团队无法统一拦截恶意 SNI、阻断 BEAST/CRIME 类攻击
专用卸载节点就是安全策略的执行锚点：证书集中托管、策略统一下发、日志集中采集、攻击统一拦截。
四、四层场景下，SNI 分流依赖专用卸载能力
当多个域名共用 443 端口接入不同后端 TCP 服务（如 MySQL、Redis、gRPC），必须依赖 ssl_preread 模块读取 SNI 字段。这个能力只在 stream 上下文中可用，且要求：
- Nginx 编译时启用
--with-stream_ssl_preread_module和--with-stream_ssl_module - 证书配置在
stream { server { listen 443 ssl; ... } }中，而非 http 块 - 转发目标是明文 TCP 连接，即完成 TLS 终止后的“卸载”本质
这种架构无法由通用 Web 服务器承担，必须由专设的、支持 stream + ssl_preread 的卸载节点实现。
