Как оптимизировать SSL в HAProxy или Nginx?

Question

[un1t]

Есть VDS с 4 CPU. Настроен HTTPS на уровне HAProxy.

Вот так выглядят настройки в haproxy.cfg

global
    ssl-default-bind-ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS
    ssl-default-bind-options no-sslv3

    maxconn 2048
    tune.ssl.default-dh-param 2048

    nbproc 4
    cpu-map all 4
    stats bind-process 4

Меня смущает производительность, она болтается в районе 150 RPS. Как-то это слишком мало для отдачи простой html странички. Причем nginx который отдает страничку по HTTP, делает это скоростью около 5000 RPS.

ab -c 100 -n 2000 "https://myhost//test.html"
Requests per second:    166 [#/sec] (mean)

Все 4 CPU грузятся под 100%.
Страничка test.html весит 27КБ.

Я пробововал перенести SSL на сторону nginx, результат примерно такой же. - около 150 RPS.

1) Это вообще нормальная скорость 150 RPS или тут явно какая-то проблема?
2) Может есть способы как-то это ускорить? Другие алгоритмы шифрования прописать, может там буферы какие-то подтюнить?

Comments

[Lynn «Кофеман»]

Так может действительно не хватает проца.
К тому же обычно настраивается кеширование SSL-сессий, так что в реальном браузерном сценарии полноценный хендшейк происходит один раз, а последующие запросы требуют гораздо меньше ресурсов. А ab, насколько я понимаю, каждый запрос делает как новый.

Answer 1

[Влад Животнев]

> Меня смущает производительность, она болтается в районе 150 RPS.
Самая тяжелая операция - хендшейк, всё остальное мелочи жизни.
У вас производительность не 150 RPS, а 150 хендшейков.

По сабжу, как-то так:

ssl_certificate /etc/nginx/ssl/cert.pem;
ssl_certificate_key /etc/nginx/ssl/cert.pem;

ssl_dhparam /etc/nginx/ssl/dhparam.pem;

ssl_prefer_server_ciphers on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers kEECDH+AES128:kEECDH:kEDH:-3DES:kRSA+AES128:kEDH+3DES:DES-CBC3-SHA:!RC4:!aNULL:!eNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!IDEA:!PSK:!SRP:!SSLv2;
ssl_session_cache shared:SSL:64m;
ssl_session_timeout 28h;

#add_header Strict-Transport-Security "max-age=31536000; always";

A-rate при оптимальной производительности, 1 хендшейк на клиента раз в 28 часов, если клиентов много разных - крутите размер ssl_session_cache.