keepalive_timeout本身不直接降低CPU负载，而是通过减少TCP和TLS握手频次间接缓解CPU压力；其合理值为30–60秒，需协同upstream keepalive、proxy_http_version 1.1及TLS会话缓存配置才能生效。
keepalive_timeout 本身不直接降低 CPU 负载，但它通过减少 TCP 连接重建频次，间接缓解 CPU 压力——尤其是避免重复的三次握手、TLS 握手和证书校验开销。
它真正影响的是连接生命周期，不是计算任务
该参数只控制 Nginx 主动关闭空闲 HTTP/1.1 连接前的等待时长（单位：秒），不参与任何加密运算或请求处理。CPU 负载下降是复用连接带来的副产品，而非配置本身执行了“省电”操作。
- 设得太短（如 5 秒）：客户端刚发完一个请求就断连，下个请求必须重走 TCP + TLS 全流程 → 多次握手叠加，CPU 明显升高
- 设得太长（如 300 秒）：大量空闲连接长期驻留，占用文件描述符和内存，可能触发系统级资源争抢，反而增加调度开销
- 合理值（如 30–60 秒）：匹配客户端请求节奏与后端 keep-alive 能力，让多数二次请求落在同一连接上，跳过建连阶段
关键协同点：它必须配合 TLS 层优化才有效
仅调大 keepalive_timeout 对 HTTPS 场景收效甚微。真正省 CPU 的是 TLS 会话复用，而它依赖两个条件同时满足：
- Nginx 保持连接不关闭（靠 keepalive_timeout 提供足够窗口）
- TLS 会话本身仍在缓存有效期（靠 ssl_session_cache 和 ssl_session_timeout 控制）
例如：若 ssl_session_timeout 设为 4h，但 keepalive_timeout 只有 10s，客户端在第 15 秒发起第二个请求时，TCP 连接已关，TLS 会话再有效也白搭。
对反向代理场景，它的价值更依赖 upstream 配置
当 Nginx 作为网关转发请求时，客户端侧的 keepalive_timeout 只解决“前端到 Nginx”这一段；真正消耗后端 CPU 的建连压力，来自 Nginx 到 upstream 的频繁新建连接。
- 必须同步开启 upstream keepalive（如 keepalive 32;）
- upstream 的 keepalive_timeout 应略小于后端服务的空闲超时（如后端设 60s，Nginx 设 55s）
- 搭配 proxy_http_version 1.1; 和 proxy_set_header Connection ''; 否则复用不生效
验证是否真降低了 CPU 开销
不能只看配置数值，要观察实际效果：
- 用 ss -tnpo | grep :443 | grep ESTAB | wc -l 对比调优前后活跃连接数是否更稳定（而非剧烈波动）
- 在 access_log 中加入 $ssl_session_reused 字段，统计 r（复用）占比是否提升
- 压测时监控 top 或 pidstat -u，确认 %sys（系统态 CPU）是否下降——这反映内核协议栈开销减少
