静态服务多节点 TLS 会话复用需统一票据密钥：用 OpenSSL 生成严格 48 字节密钥文件，所有服务器字节级一致、路径相同，并配置 ssl_session_tickets on 与 ssl_session_ticket_key；生产环境须启用多密钥轮换（最多 10 个），新密钥置顶，旧密钥保留 ≥24 小时；验证用 openssl s_client -reconnect 检查 Reused, TLS。
要让静态服务在多台服务器之间实现 TLS 会话复用，核心不是靠共享内存或外部缓存，而是让所有节点用同一套密钥解密客户端自带的加密票据——这就是 ssl_session_tickets 的无状态设计本质。
关键不在“开”或“关”，而在密钥统一、路径一致、轮换可控。
必须确保所有服务器使用完全相同的密钥文件
Nginx 不会自动生成票据密钥，必须手动提供一个严格 48 字节的二进制文件：
- 用 OpenSSL 生成（唯一合规方式）：
openssl rand 48 > /etc/nginx/ticket.key - 检查长度是否准确：
ls -l /etc/nginx/ticket.key→ 输出大小必须是48 - 设置权限与属主：
chmod 0400 /etc/nginx/ticket.keychown www-data:www-data /etc/nginx/ticket.key（根据实际运行用户调整）
所有服务器上的这个文件内容必须字节级一致，路径也必须完全相同。建议用 Ansible、rsync 或配置中心统一分发，禁止各节点单独生成。
在 Nginx 配置中启用并指向该密钥
放在 http 或 server 块中（不要遗漏 on）：
ssl_session_tickets on; ssl_session_ticket_key /etc/nginx/ticket.key;
⚠️ 注意：部分旧版 Nginx（如 <1.11.0）在 nginx -s reload 时不会重载票据密钥，需执行完整重启：systemctl restart nginx 或 kill -TERM $(cat /var/run/nginx.pid) && nginx
生产环境务必启用多密钥轮换机制
单密钥长期使用存在安全风险，且无法应对滚动更新场景。Nginx 支持最多 10 个 ssl_session_ticket_key 指令，按顺序加载：
- 第一行用于加密新票据（客户端下次连接收到的）
- 所有行都可用于解密已发出的旧票据
示例配置（最新密钥置顶）：
ssl_session_tickets on; ssl_session_ticket_key /etc/nginx/ticket.key.v20260512; ssl_session_ticket_key /etc/nginx/ticket.key.v20260412; ssl_session_ticket_key /etc/nginx/ticket.key.v20260312;
轮换操作只需三步：
- 生成新密钥文件（如
ticket.key.v20260612） - 将其插入配置最前面（可用
sed -i '1i\ssl_session_ticket_key /etc/nginx/ticket.key.v20260612;'） - 执行
nginx -s reload（现代版本支持热重载）
旧密钥保留至少 24 小时，覆盖典型票据生命周期（OpenSSL 默认 lifetime_hint 约 4 小时）和意外重启窗口。
验证是否真正生效
不用抓包，终端两条命令即可确认：
- 首次连接（应新建）：
openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | grep "New, TLS" - 二次连接（带票据重试）：
openssl s_client -connect example.com:443 -reconnect -servername example.com 2>/dev/null | grep "Reused, TLS"
若第二条输出含 Reused, TLS，且 Session-ID: 字段为空，说明票据模式已启用并成功复用。
同时检查 Nginx error log，不应出现 SSL_do_handshake() failed 或 failed to load session ticket key 类错误。
不复杂但容易忽略
