Почему через HTTPS сайт долго загружается?

Question

[Артем]

Недавно получили сертификат SSL для сайта организации. После установки и настройки сайт стал грузиться до 10-15 секунд. Сайт стоит на BitrixVM5.1 с CentOs. Настройка nginx и apache проводилась элементарная, включить ssl, указать путь до сертификата.
Wireshark при многократном тестировании показывает одну и ту же картину: ServerHello возвращается строго через 10 секунд.


Как подробней узнать, куда деваются эти 10 секунд?

Comments

[Андрей Михалёв]

не мешало бы добавить сюда конфиг nginx

Answer 1

[Fixid]

Увеличьте ssl_buffer_size, установите ssl_session_cache. По возможности используйте ssl_ciphers и классическую оптимизацию TCP/IP стека

Comments

[Артем]

настройки сейчас такие
ssl_ciphers RC4:HIGH:!aNULL:!MD5:!kEDH;
ssl_session_cache shared:SSL:10m;
ssl_buffer_size по дефолту. какой оптимальный размер?

[Fixid]

Артем: крайне странный ssl_ciphers. Мне кажется что вся проблема в них, там нету современных и быстрых
Попробуйте для начала:

ssl_ciphers "EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH:EDH+aRSA:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4";

для проверки поддержки
openssl ciphers -V 'EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4'

[Fixid]

Артем: 8k будет нормально

[Fixid]

Артем: и обязательно ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

[Артем]

Fixid: о-е! похоже сработало с ssl_ciphers

Answer 2

[Владимир Гончаров]

https://kolatelegraf.ru/ тоже скорость упала в два раза после установки ssl. Проверил по https://www.sslshopper.com/ssl-checker.html
пишет всё в норме, что сделать?

Comments

[wmicha]

Что-то решилось в итоге? Как исправили?

Answer 3

[Алексей Романенко]

Включит debug логирование nginx (если он смотрит во вне), читать логи.
Сервер мощный? Какая длина ключа?

Comments

[Артем]

подключил дебаг
error_log /var/log/nginx/debug.log debug;
но логи мало что объясняют
[info] 9277#0: *322 peer closed connection in SSL handshake while SSL handshaking, client: x.x.x.x, server: 0.0.0.0:443
ключ 256 бит, сервер средней мощности, но нагрузки на него нет.

[Андрей Михалёв]

Артем: ключ не может быть 256 битов, это хэш ключа 256 бит, а сами ключи 1к 2к 4к 8к

[Артем]

Андрей Михалёв: Открытый ключ RSA (2048 Bits) так?

[Алексей Романенко]

Артем: выглядит что проблема с сетью. Но, проверьте нагрузку на сервер (cpu, mem, io, net) в момент подключения. Как попросил Андрей Михалёв приклепляйте конфиг nginx, еще его посмотрим.

[Артем]

Алексей Романенко: по http все работает шустро, проблема именно с ssl. конфиги разбиты на кучу файлов. вот ssl часть:

server {
listen 443 default_server ssl;
server_name xxx.ru;
keepalive_timeout 70;
keepalive_requests 150;
ssl on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers RC4:HIGH:!aNULL:!MD5:!kEDH;
ssl_certificate /etc/httpd/ssl-certs/xxx_ru_combined.crt;
ssl_certificate_key /etc/httpd/ssl-certs/inf.key;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_prefer_server_ciphers on;
server_name_in_redirect off;

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host:443;
proxy_set_header HTTPS YES;

set $proxyserver "127.0.0.1:8888";
set $docroot "/home/bitrix/www";

index index.php;
root /home/bitrix/www;

}

[Алексей Романенко]

Артем: сделайте конфиг более актуальным : https://mozilla.github.io/server-side-tls/ssl-conf...

Что с ресурсами происходит когда запрос приходит? Что проседает?

[Андрей Михалёв]

сдается мне, проблема в самом сайте или в .htaccess. проверяйте что все ссылки ведут на https, и двойных перенаправлений нет.

[Артем]

Андрей Михалёв: лишних редиректов нет. консоль хрома подтверждает. Алексей Романенко: не пойму о чем вопрос, куда смотреть?) в принципе секрета нет. проверьте сами tfomssk.ru

[Алексей Романенко]

Артем: а сделайте локейшен без битрикса и запросите его, похоже что-то внутри делается.

[Артем]

Алексей Романенко: а можно для тупых подробней?

[Алексей Романенко]

Артем: создаете файл test.php (содержимое <?php phpversion();) , в nginx прописываете location /test { ... }. Суть такая: исключите битрикс из запросов.

[Артем]

Алексей Романенко: проверил. ситуация та же. битрикс не при чем

[Алексей]

Артем: А проблема еще актуальна? У меня за 1 секунду грузится ваша страница tfomssk.ru по https.

[Артем]

Алексей: спасибо. проблема была в конфиге. Fixid подсказал решение

[Алексей Романенко]

Алексей: я предлагал актуальный конфиг сделать, но человек не захотел разбираться и хотел сразу строкой, что ему и предложили выше.

[Алексей Романенко]

Артем: возьмите рекомендации с генератора мозилы, они самый актуальные.

[Артем]

Алексей Романенко: да, спасибо большое. с рекомендациями мозилы быстро разобраться не вышло, сайт ложился. поэтому более простым решением оказалось изменить набор шифров, а в дальнейшем разобраться с остальными дерективами.

Answer 4

[Владимир]

Очень похоже что чтото таймаутится - для nginx в файл сертификата cabundle/chain добавить не забыли ?
пороверьте цепочку сертификатов на https://www.sslshopper.com/ssl-checker.html например

Comments

[Артем]

Тема для меня сложная, что такое cabundle/chain? вероятно забыли
https://www.sslshopper.com/ssl-checker.html#hostna... ничего необычного не заметил

[Владимир]

Артем: у вас все хорошо - не беспокойтесь, проблема в чемто другом.