启用S​​SL

要启用SSL，请为将连接传递到上游服务器组的TCP服务器指定指令的ssl参数listen：

stream {server {listen     12345 ssl;proxy_pass backend;#...}
}

添加SSL证书

要添加SSL证书，请使用ssl_certificate指令指定证书的路径（必须采用PEM格式），并在指令中指定私钥的路径ssl_certificate_key：

server {#...ssl_certificate        /etc/ssl/certs/server.crt;ssl_certificate_key    /etc/ssl/certs/server.key;
}

此外，ssl_protocolsand ssl_ciphers指令可用于限制连接并仅包括SSL / TLS的强版本和密码：

server {#...ssl_protocols  TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers    HIGH:!aNULL:!MD5;
}

该ssl_ciphers指令告诉NGINX通知SSL库它喜欢哪种密码。

server {#...ssl_handshake_timeout 10s;
}

优化SSL会话缓存

创建适用于每个SSL / TLS连接的会话参数的缓存可以减少握手次数，从而可以显着提高性能。缓存是通过ssl_session_cache伪指令设置的：

ssl_session_cache;

默认情况下，NGINX Plus使用built-in会话缓存的类型，这意味着您的SSL库中内置了缓存。这不是最佳选择，因为这样的缓存只能由一个工作进程使用，并且可能导致内存碎片。设置ssl_session_cache指令以shared在所有工作进程之间共享缓存，这可以加快以后的连接速度，因为连接设置信息是已知的：

ssl_session_cache shared:SSL:1m;

作为参考，一个1 MB的共享缓存可以容纳大约4,000个会话。

默认情况下，NGINX Plus将缓存的会话参数保留五分钟。将的值ssl_session_timeout增加到几个小时可以提高性能，因为重新使用缓存的会话参数可以减少耗时的握手次数。当您增加超时时，缓存需要更大，以容纳产生的更多缓存参数。对于以下示例中的4小时超时，适合使用20 MB的缓存：

ssl_session_timeout 4h;

如果超时长度增加，则需要更大的缓存来存储会话，例如20 MB：

server {#...ssl_session_cache   shared:SSL:20m;ssl_session_timeout 4h;
}

这些行创建了一个20 MB的内存中高速缓存来存储会话信息，并指示NGINX Plus在添加会话参数后的4小时内重新使用高速缓存中的会话参数。

会话票证 Session_Tickets

会话票证是会话缓存的替代方法。会话信息存储在客户端，因此无需服务器端缓存即可存储会话信息。当客户端恢复与后端服务器的交互时，它会显示会话票证，并且不需要重新协商。将ssl_session_tickets指令设置为on：

server {#...ssl_session_tickets on;
}

将会话票证用于上游组时，必须使用相同的会话密钥初始化每个上游服务器。最佳做法是经常更改会话密钥，我们建议您实施一种机制，以在所有上游服务器之间轮换共享密钥：

server {#...ssl_session_tickets on;ssl_session_ticket_key /etc/ssl/session_ticket_keys/current.key;ssl_session_ticket_key /etc/ssl/session_ticket_keys/previous.key;
}

stream {upstream stream_backend {server backend1.example.com:12345;server backend2.example.com:12345;server backend3.example.com:12345;}server {listen                12345 ssl;proxy_pass            stream_backend;ssl_certificate       /etc/ssl/certs/server.crt;ssl_certificate_key   /etc/ssl/certs/server.key;ssl_protocols         SSLv3 TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers           HIGH:!aNULL:!MD5;ssl_session_cache     shared:SSL:20m;ssl_session_timeout   4h;ssl_handshake_timeout 30s;#...}
}