单纯调Nginx配置不能解决TLS握手CPU瓶颈，需内核层优化：启用RPS/RFS均衡软中断、扩大syn_backlog和somaxconn、禁用tcp_sack与gso、调低swappiness，确保网卡收包与Nginx worker核绑定协同。
单纯调 Nginx 配置不能解决 TLS 握手时的 CPU 瓶颈，系统内核层的收包与调度策略不匹配，会导致软中断集中打在少数 CPU 核上，TLS 计算线程被迫排队等待——这不是 Nginx 没优化好，而是内核没“配合”好。
让网卡软中断均匀分发到多核
HTTPS 新连接涌入时，NET_RX 软中断默认集中在 CPU 0 上处理，而 Nginx worker 进程可能绑在其他核，造成跨核缓存失效和延迟。需手动均衡：
- 查看当前软中断分布：cat /proc/interrupts | grep -i "eth\|enp"，观察 IRQ 行各列数值是否严重倾斜
- 启用 RPS（Receive Packet Steering）：向 /sys/class/net/eth0/queues/rx-0/rps_cpus 写入十六进制掩码，例如 4 核服务器写 0xf（即 1111），表示全部启用
- 配合 RFS（Receive Flow Steering）提升缓存局部性：设置 net.core.rps_sock_flow_entries = 32768，并为每个接收队列配置 rps_flow_cnt
扩大连接建立缓冲区，减少握手重试开销
TLS 握手失败或超时重传，会触发重复协商，白白消耗 CPU。内核队列过小是常见诱因：
- 增大全系统监听队列上限：net.core.somaxconn = 65535（避免 accept 队列溢出丢包）
- 加大 SYN 半连接队列：net.ipv4.tcp_max_syn_backlog = 65535（防止 SYN 泛洪下握手被丢弃）
- 启用快速回收（仅限非 NAT 环境）：net.ipv4.tcp_tw_reuse = 1，加速 TIME_WAIT 套接字复用，缓解端口耗尽导致的握手失败
关闭低效内核特性，降低 TLS 路径干扰
某些默认开启的内核功能会增加 TLS 数据路径的判断开销：
- 禁用 TCP SACK（选择性确认）：net.ipv4.tcp_sack = 0——对 TLS 流量影响极小，但可省去内核中一段分支预测和乱序处理逻辑
- 关闭 GSO 分段卸载（若网卡不支持或虚拟化环境）：ethtool -K eth0 gso off，避免 TLS record 在内核中被反复拆合
- 调高内存压力阈值，防止 TLS 缓冲区被误回收：vm.swappiness = 1，vm.vfs_cache_pressure = 50
这些参数要写入 /etc/sysctl.conf 并执行 sysctl -p 生效。改完后用 pidstat -t -p $(pgrep nginx) 1 观察各 worker 线程 CPU 分布是否均衡，再结合 openssl s_client -connect example.com:443 -reconnect 看复用率是否同步提升。
