☰

EC2 上 Nginx 的 SSL 终止性能

tag-icon • tag-icon nginx amazon-ec2 ssl reverse-proxy
EC2 上 Nginx 的 SSL 终止性能

我正在运行一个 nginx 实例，它充当 EC2 虚拟服务器上的 SSL 终止点和基本负载均衡器，并且发现从上游源提供的 SSL 页面的性能非常差。

EC2 实例是 c1.medium，应该能够维持合理的吞吐量，但我无法使其每秒超过 60 个交易。

直接从服务器提供 nginx 状态页面，我管理的吞吐量是原来的十倍多，因此这不仅仅是 SSL 开销，但如果我重新配置它以在没有 SSL 的情况下提供相同的内容，我也能做得更好，所以这也不是上游开销。CPU是当其每秒处理 60 笔交易时，就达到了最大值。

我正在使用 ab 来测试它，参数为“-n 1000 -c 50 -k”——1000 次命中，50 的并发性，启用保持活动，以便 SSL 会话缓存可以工作。

这是一个简化的配置：

user www-data;
worker_processes 4;
pid /var/run/nginx.pid;

events {
    worker_connections 4096;
}

http {
    sendfile off;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    types_hash_max_size 2048;

    include /etc/nginx/mime.types;
    default_type application/json;

    log_format standard '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent"';

    access_log /var/log/nginx/access.log standard;
    error_log /var/log/nginx/error.log;

    gzip on;
    gzip_types text/plain application/json;
    gzip_comp_level 1;

    upstream test {
    server 10.226.31.66;
    }

server {
    listen   443;

    ssl on;
    ssl_certificate     /etc/nginx/certs/both.crt;
    ssl_certificate_key /etc/nginx/certs/https.key;

    ssl_session_timeout  10m;
    ssl_session_cache   shared:SSL:10m;

    ssl_protocols  SSLv2 SSLv3 TLSv1;
    ssl_ciphers  ALL:!kEDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
    ssl_prefer_server_ciphers   on;

    location /v1/system/nginx {
        stub_status on;
        allow all;
    }

    location /nginx_status {
        stub_status on;
        allow all;
    }

    location / {

        proxy_pass      http://test;
        proxy_set_header   Host $host;
        proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;

        client_max_body_size   10m;
        client_body_buffer_size 128k;

        proxy_buffering on;
        proxy_connect_timeout 15;
        proxy_intercept_errors on;
    }
    }
    }

答案1

我也发现了同样的情况，HTTP 每秒的点击数为 500 次（带宽受限），HTTPS 每秒的点击数仅为 10 次（CPU 受限）。我对此没有解决方案，但作为一种可以带来很多好处和很少缺点的解决方法，您是否考虑过使用亚马逊的弹性负载均衡器终止 SSL？它们似乎很多只需多花几分钱就可以获得更快的速度，至少比由于 CPU 短缺而购买更多实例要便宜。

相关内容