Добрый день,  спасибо за ответ.

On 02/09/2019 22:11, Maxim Dounin wrote:
> Just in case, для работы такая конфигурация смысла не имеет - если
> тикеты выключены, то ключ для их шифрования не нужен. Ключ имеет
> смысл задавать, если тикеты включены.
>
> С точки зрения влияния на reload - внешний ключ позволит сохранить
> тикеты при reload'ах, а выключение тикетов - уведёт всё в кэш
> сессий.
>
> Ну выключать тикеты - это, безусловно, плохой путь. Тикеты -
> способ переложить хранение сессий на клиентов, и отказываться от
> этого - очевидно недальновидно с точки зрения нагрузки на сервер.
>
Да, я неверно понял доки.

> Отмечу также, что даже в наиболее экстремальных случаях из
> представленных на графике - рост потребления процессора с ~200% до
> ~300% не выглядит сколько-нибудь фатальным. Какой-то рост
> потребления процессора при релоадах - нормален, здесь же
> наблюдается рост всего в 1.5 раза. Если это проблема - то стоит
> задуматься о добавлении мощностей и/или заняться оптимизацией
Да, сейчас это для меня просто представляет интерес, после перехода на
openssl 1.0.2g и включение http2, проблем это особых не вызывает.
> А вот то, что средняя нагрузка без тикетов заметно выше - это
> немного странно. Само хранение сессий - должно бы стоить очень
> недорого с точки зрения процессора, а в остальном разница не
> принципиальна. Но, возможно, тут дело в том, что размер кэша
> SSL-сессий просто мал для имеющегося количества клиентов, и
> поэтому при выключении тикетов handshake'и начинают происходить
> чаще, что и приводит к росту потребления процессора.
Возможно. Это немного не то, но мне было интересно как увеличение кэша
ssl сессий повлияет на нагрузку при reload'e:

http://dl4.joxi.net/drive/2019/09/03/0030/2608/1985072/72/8608b87db7.jpg

Числами отметил разное количество ssl_session_cache от 20m до 256m.
Вроде никак не влияет.  Сегодня тестил при 8K rps (вчера 5-6K). Поэтому
нагрузка скачет чуть выше.

А вот тикеты помогли вообще круто.  Нагрузка поднимается всего-лишь на
5%-10%:
http://dl3.joxi.net/drive/2019/09/03/0030/2608/1985072/72/ac00a4d2d0.jpg

Здесь 1 - это без ssl_session_ticket_key, а 2,3,4 - c включенными
тикетами и указанными постояным ключем ssl_session_ticket_key.

Итого:

Сущесвтенно решить проблему помогло следующее:
1) переход на http2 (openssl 1.02.g) - понизилась нагрузка в целом, и
при reload'e нагрузка конечно возрастала, но не надолго (5-20 секунд, а
раньше от 30-40 секунд, до 5 минут).
2) И вообще убрать хоть какое-то сущесвтенное повышение нагрзуки помогло
включение ssl_session_tickets(по умолчанию включено) с установелнным
ssl_session_ticket_key (по умолчанию генерируется заново при каждом
reload'e, его лучше указать чтобы этого не происходило).

Оставил такие параметры:

    ssl_session_cache   shared:SSL:20m;
    ssl_session_timeout 30m;
    ssl_session_tickets on;
    ssl_session_ticket_key /etc/nginx/ssl/ticket.key; # ticket.key -
файл с рандомными 80 или 48 байт

Кэш ssl сессий оставил, хоть в моем случае он вроде как сильно не влияет
(по крайней мере я этого не заметил).


Спасибо Вам большое, Ваши советы помогли полностью избавиться от этого
эффекта. Надеюсь кому-то тоже будет полезна эта переписка.

--
Kind regards
Dmitry Sergeev
Tel: +7 (951) 129-75-72

_______________________________________________
nginx-ru mailing list
nginx-ru@nginx.org
http://mailman.nginx.org/mailman/listinfo/nginx-ru