[记录]NGINX配置HTTPS性能优化方案一则
NGINX配置HTTPS性能优化方案一则: 1)HSTS的合理使用 2)会话恢复的合理使用 3)Ocsp stapling的合理使用 4)TLS协议的合理配置 5)False Start的合理使用 6)SNI功能的合理使用, 7)HTTP 2.0的合理使用(Nginx在1.9.x版本就开始支持http2协议) 8)SSL硬件加速卡合理使用 以下是一个nginx优化https的配置模板: server { # 把ssl on;这行去掉,ssl写在443端口后面。这样http和https的链接都可以用 listen 443 ssl http2 default_server; server_name site.xxx.com; # HSTS的合理使用,max-age表明HSTS在浏览器中的缓存时间,includeSubdomainscam参数指定应该在所有子域上启用HSTS,preload参数表示预加载,通过Strict-Transport-Security: max-age=0将缓存设置为0可以撤销HSTS add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"; ssl_certificate /usr/local/nginx/cert/server.pem; ssl_certificate_key /usr/local/nginx/cert/server.key; # 分配10MB的共享内存缓存,不同工作进程共享TLS会话信息 ssl_session_cache shared:SSL:10m; # 设置会话缓存过期时间24h ssl_session_timeout 1440m; # TLS协议的合理配置 # 指定TLS协议的版本,不安全的SSL2和SSL3要废弃掉 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # 启用ssl_prefer_server_ciphers,用来告诉Nginx在TLS握手时启用服务器算法优先,由服务器选择适配算法而不是客户端 ssl_prefer_server_ciphers on; # 优先选择支持前向加密的算法,且按照性能的优先顺序排列 ssl_ciphers ssl_ciphers "ECDHE-ECDSA-CHACHA20-POLY1305 ECDHE-RSA-CHACHA20-POLY1305 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 DHE-RSA-AES128-GCM-SHA256 DHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 ECDHE-ECDSA-AES128-SHA ECDHE-RSA-AES256-SHA384 ECDHE-RSA-AES128-SHA ECDHE-ECDSA-AES256-SHA384 ECDHE-ECDSA-AES256-SHA ECDHE-RSA-AES256-SHA DHE-RSA-AES128-SHA256 DHE-RSA-AES128-SHA DHE-RSA-AES256-SHA256 DHE-RSA-AES256-SHA ECDHE-ECDSA-DES-CBC3-SHA ECDHE-RSA-DES-CBC3-SHA EDH-RSA-DES-CBC3-SHA AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 AES128-SHA AES256-SHA DES-CBC3-SHA !DSS"; # 会话恢复的合理使用 # 配置会话票证,减少了TLS握手的开销 ssl_session_tickets on; # 生产key的命令通过openssl生成:openssl rand –out session_ticket.key 48 ssl_session_ticket_key /usr/local/nginx/ssl_cert/session_ticket.key; #设置TLS日志格式 log_format ssl "$time_local $server_name $remote_addr $connection $connnection_requests $ssl_protocol $ssl_cipher $ssl_session_id $ssl_session_reused"; access_log /usr/local/nginx/logs/access.log ssl; # Ocsp stapling的合理使用 # 启用OCSP stapling,指定更新文件内容,无需从服务商拉取 ssl_stapling on; ssl_stapling_file /usr/local/nginx/oscp/stapling_file.ocsp; # 或者不指定更新文件内容,在线获取,valid表示缓存5分钟,resolver_timeout表示网络超时时间 #resolver 8.8.8.8 8.8.4.4 223.5.5.5 valid=300s; #resolver_timeout 5s; # 启用OCSP响应验证,OCSP信息响应适用的证书 ssl_stapling_verify on; ssl_trusted_certificate /usr/local/nginx/ssl_cert/trustchain.crt; root html; index index.html index.htm; location / { ... } error_page 403 /403.html; location = /403.html { root /usr/local/nginx/waf/403/default; } error_page 500 502 503 504 /502.html; location = /502.html { root /usr/local/nginx/waf/403/default; } }
参考链接:http://blog.csdn.net/zhuyiquan/article/details/71430020