Nginx 中 ssl_buffer_size 参数调优的具体实现

SSL 记录层结构：
+------------------+------------------+------------------+
|  记录头 (5字节)  |  数据 (<=16KB)   |  MAC + 填充      |
+------------------+------------------+------------------+
ssl_buffer_size 控制中间 "数据" 部分的大小

server {
    listen 443 ssl http2;
    # 默认 16KB，针对 API/网页优化到 4KB 降低延迟
    ssl_buffer_size 4k;
    ssl_certificate     /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;
}

server {
    listen 443 ssl;
    # 默认小缓冲，优化网页/API 延迟
    ssl_buffer_size 4k;
    location /api/ {
        # API 保持小缓冲，快速响应
        ssl_buffer_size 2k;  # 极致低延迟
        proxy_pass http://backend;
    }
    location /download/ {
        # 大文件下载用大缓冲，提升吞吐
        ssl_buffer_size 16k;
        proxy_pass http://storage;
    }
    location /video/ {
        # 流媒体使用大缓冲，减少 syscall
        ssl_buffer_size 16k;
        proxy_buffering off;  # 注意：与 ssl_buffer_size 独立工作
    }
}

map $http_user_agent $ssl_buf_size {
    ~*curl|wget|python       16k;   # 工具/脚本下载
    ~*android|ios|mobile    4k;    # 移动端优化
    default                  8k;   # 桌面浏览器平衡
}
server {
    listen 443 ssl;
    # 无法直接用变量，需通过嵌套 server 或 Lua 实现
    # 此处展示条件判断思路（实际需 OpenResty）
    ssl_buffer_size 4k;  # 基础配置
    location / {
        # 对静态资源使用大缓冲
        if ($request_uri ~* \.(zip|tar|gz|mp4)$) {
            # 需借助 Lua 动态调整，原生不支持
        }
        proxy_pass http://backend;
    }
}

server {
    listen 443 ssl;
    ssl_certificate_by_lua_block {
        -- 基于 SNI 或请求特征动态选择证书和缓冲策略
        local ssl = require "ngx.ssl"
        local server_name = ssl.server_name()
        -- 无法直接修改 ssl_buffer_size（连接级配置）
        -- 但可通过变量影响后续处理
    }
    # 实际动态调整需修改 Nginx 源码或使用 split_clients 分流
}
# 分流到不同 server 块实现动态效果
map $ssl_server_name $backend_port {
    api.example.com     8443;   # 小缓冲 server
    cdn.example.com     8444;   # 大缓冲 server
}
server {
    listen 8443 ssl;
    ssl_buffer_size 4k;
    server_name api.example.com;
    location / { proxy_pass http://backend; }
}
server {
    listen 8444 ssl;
    ssl_buffer_size 16k;
    server_name cdn.example.com;
    location / { proxy_pass http://storage; }
}

# 测试小缓冲（4KB）- 低延迟场景
wrk -t4 -c100 -d30s --latency https://api.example.com/data
# 测试大缓冲（16KB）- 吞吐场景
curl -o /dev/null -w "time_total: %{time_total}\nspeed: %{speed_download}\n" \
     https://cdn.example.com/100mb.zip

server {
    listen 443 ssl http2;
    # 记录层大小（与 ssl_buffer_size 配合）
    ssl_buffer_size 4k;
    # 应用层缓冲（独立控制）
    proxy_buffer_size 4k;          # 代理响应头缓冲
    proxy_buffers 8 4k;            # 代理响应体缓冲
    proxy_busy_buffers_size 8k;    # 忙缓冲阈值
    # TCP 层优化（与 SSL 缓冲匹配）
    tcp_nodelay on;                # 小包立即发送，配合小 ssl_buffer
    tcp_nopush on;                 # 大包聚合，配合大 ssl_buffer
    # HTTP/2 特定优化
    http2_chunk_size 8k;           # HTTP/2 分块大小
    # 会话复用（减少握手开销）
    ssl_session_cache shared:SSL:50m;
    ssl_session_timeout 1d;
    ssl_session_tickets on;
}

# /etc/nginx/conf.d/ssl-tuning.conf
# 场景1：高并发 API 网关
api_gateway_ssl() {
    ssl_buffer_size 4k;
    tcp_nodelay on;
    ssl_session_cache shared:API_SSL:100m;
    ssl_session_timeout 10m;
}
# 场景2：静态资源/CDN
cdn_ssl() {
    ssl_buffer_size 16k;
    tcp_nopush on;
    sendfile on;  # 零拷贝，配合大缓冲
}
# 场景3：混合应用（默认平衡）
balanced_ssl() {
    ssl_buffer_size 8k;  # 中间值，8KB 是 TLS 1.3 推荐
    tcp_nodelay on;
    tcp_nopush on;
}
server {
    listen 443 ssl http2;
    server_name app.example.com;
    # 根据主要流量特征选择
    include /etc/nginx/conf.d/ssl-tuning.conf;
    # 或使用上述函数逻辑
    ssl_buffer_size 4k;  # 默认优化交互体验
    location ~* \.(js|css|png|jpg|gif|ico|svg|woff|woff2)$ {
        # 静态资源临时切换到大缓冲（需单独 location）
        ssl_buffer_size 16k;  # Nginx 1.25.1+ 支持 location 级
        expires 1y;
        add_header Cache-Control "public, immutable";
    }
    location /api/ {
        ssl_buffer_size 2k;  # API 极致低延迟
        proxy_pass http://api_backend;
    }
}