优化Nginx HTTPS TLS握手时长需四步：收紧缓冲与超时（ssl_buffer_size设4k/8k、handshake_timeout设5–10s）、启用双路会话复用（shared缓存+ticket机制）、部署OCSP Stapling（四要素齐全+本地降级）、协同连接生命周期（keepalive_timeout设300s+后端分级控制）。
优化 Nginx 中 HTTPS 站点的 TLS 握手时长，核心是减少单次握手开销、提升复用率、避免阻塞环节。不是堆硬件，而是让每次握手更快、更轻、更可靠。
收紧握手缓冲与超时参数
默认 16KB SSL 缓冲和 60 秒握手超时，在高并发下易造成内存抖动和僵尸连接堆积：
- ssl_buffer_size 设为 4k 或 8k：减小初始 TLS 记录分片大小，降低握手初期内存占用；
- ssl_handshake_timeout 设为 5–8 秒（公网）或 10 秒（内网）：快速中断异常或弱网握手，防止 worker 被长期占用；
-
禁用老旧协议与高开销 cipher：只保留
TLSv1.2 TLSv1.3，剔除含 SHA-1、RC4、CBC 模式的套件，减少密钥计算与证书解析压力。
启用双路会话复用机制
完整握手需分配密钥上下文、解码证书链、执行 OCSP 验证，开销远高于复用。单靠缓存不够，必须“缓存 + 票据”双保险：
-
在 http 块顶层配置共享缓存：
ssl_session_cache shared:SSL:20m;（非 server 块内），确保跨 worker、跨域名复用； -
开启 session ticket 并轮换密钥：
ssl_session_tickets on;+ssl_session_ticket_key /etc/nginx/ssl/ticket.key;，提供无状态兜底； -
合理设置超时与容量：推荐
ssl_session_timeout 4h;，20MB 缓存可支撑日均 UV 50 万以上站点的复用需求。
部署 OCSP Stapling 降低验证延迟
客户端自行查询 OCSP 是首次握手卡顿的常见原因，尤其在跨地域或弱网环境下：
-
四要素缺一不可：启用
ssl_stapling on;、校验ssl_stapling_verify on;、指定信任链ssl_trusted_certificate /path/to/full-chain-trusted.pem;、显式配置resolver 8.8.8.8 1.1.1.1 valid=300s;； -
支持本地降级缓存：配合
ssl_stapling_file指向预缓存响应文件，并用 cron 定期刷新，避免 OCSP 服务不可达时握手失败； - 所有节点时间必须同步：chrony + NTP 校准，误差超过 5 分钟会导致 stapling 校验失败。
适配连接生命周期与后端协同
握手时长不仅取决于 TLS 层，还受连接管理与上游行为影响：
- keepalive_timeout 设为 300 秒：平衡资源释放与复用收益，避免频繁重建 TLS 连接；
-
反向代理到后端 HTTPS 时主动规避阻塞：开启
proxy_ssl_server_name on;、明确proxy_ssl_name、关闭proxy_ssl_session_reuse off;； - 按来源分级控制 handshake timeout：例如公网入口设 6s，内网 API 网关设 10s，对特定 UA 或 IP 段动态放宽，兼顾兼容性与稳定性。
