對 Nginx SSL 的性能進(jìn)行調(diào)整
這篇文章是講web服務(wù)器方面的性能調(diào)整，不包括數(shù)據(jù)庫性能的調(diào)整。
初始化服務(wù)器
這個web服務(wù)器運(yùn)行在一個EC2 t1.micro 環(huán)境.我選擇 Nginx + PHP5-FPM 來運(yùn)行php頁面,出于安全考慮我使用SSL。
測試性能
我使用Blitz.io來進(jìn)行壓力和性能測試. 下面的是我壓力測試的命令. 功能是在60秒內(nèi)逐漸增加用戶. 在整個過程中,Blitz.io 每秒創(chuàng)建一個請求并增加4個用戶(rise/run = 260/60)。
- -p 1-250:60 https://mydomian.com
結(jié)論
對于那些不想看完全文的下面是幾個方案：
- 這個默認(rèn)的 DH算法是性能低的最大原因. 改變你的 SSL 密碼設(shè)置用下面的這個命令:
- ssl_ciphers ALL:!kEDH!ADH:RC4+RSA:+HIGH:+SSLv2:+EXP;
- 升級你的EC2 從t1.micro 到 c1.medium
- 當(dāng)c1.medium給你兩個CPU時,設(shè)置Nginx使用2個工作進(jìn)程.
詳細(xì)的解釋
對于愛好者來說，這里是詳細(xì)的解釋。我將會在下述章節(jié)帶領(lǐng)你重溫我的思考過程。
如果編輯了Nginx配置，那么重啟Nginx服務(wù)器。如果編輯了PHP5-FPM配置，那么重啟服務(wù)。
嘗試 #1: 增強(qiáng)硬件
對于改善性能，我本能的想法是增強(qiáng)服務(wù)器硬件，希望一切都會正常工作。我將EC2實(shí)例從t1.micro升級到了c1.medium（針對高流量服務(wù)器進(jìn)行了優(yōu)化，而不是通用服務(wù)器）。
在此之后，我運(yùn)行了Blitz.io負(fù)載測試。這是結(jié)果的截圖：
服務(wù)器的峰值性能可以達(dá)到每秒50個成功命中。隨著負(fù)載的繼續(xù)增加，超時的數(shù)量上升，而命中的數(shù)量下降。
嘗試 #2: 評效CPU性能
我重新執(zhí)行了測試，同時在后臺運(yùn)行htop。我注意到兩個CPU的利用率不超過13%。內(nèi)存使用了300Mb。看起來服務(wù)器沒有充分利用。所以我做了下述改變。我編輯了/etc/ngnix/nginx.conf
- worker_processes 2;
嘗試 #3, #4, #5: 微調(diào) Nginx + PHP5-FPM
在下述嘗試中，我改變了下述值，仍然獲得跟嘗試 #1同樣的結(jié)果。
嘗試 #3
- /etc/ngnix/nginx.conf
- worker_processes 2;
- events {
- worker_connections 19000;
- multi_accept on;
- }
嘗試 #4
/etc/ngnix/nginx.conf
- worker_processes 2;
- events {
- worker_connections 19000;
- multi_accept on;
- }
- http {
- gzip on;
- gzip_disable "msie6";
- gzip_min_length 1000;
- gzip_proxied expired no-cache no-store private auth;
- gzip_types text/plain application/xml application/javascript text/css application/x-javascript;
- …
- }
嘗試 #5
我沒有取消嘗試 #4的改變
/etc/php5/fpm/pool.d/www.conf
- pm.max_children = 160
- pm.start_servers = 24
- pm.min_spare_servers = 20
- pm.max_spare_servers = 35
- pm.max_requests = 1500
嘗試 #6: 部署另外一臺服務(wù)器
我還有另外一臺Linode服務(wù)器。具有1.5Gb的內(nèi)存和8個CPU。我復(fù)制所有Nginx和PHP5-FPM的設(shè)置到這臺服務(wù)器上。
這是我使用Blitz.io進(jìn)行壓力測試的命令：
- -p 1-250:60 http://labs.mydomian2.com
這是結(jié)果：
Linode服務(wù)器非常棒！我在想“Linode比EC2好么？”。在我決定沿著這條思路走下去，將代碼遷移到Linode之前，我想要確保兩臺服務(wù)器之間沒有差別。
嘗試 #7: 大啟示
我搜索了一下，發(fā)現(xiàn)Nginx有些SSL相關(guān)的問題。默認(rèn)Nginx使用DHE算法創(chuàng)建密碼（cipher）。禁用該算法將會提升性能。
這是我讀到的文章：
- http://matt.io/entry/ur
- http://auxbuss.com/blog/posts/2011_06_28_ssl_session_caching_on_nginx/
所有我編輯/etc/nginx/nginx.conf去掉了kEDH密碼算法。
- worker_processes 2;
- events {
- worker_connections 1024;
- }
- http {
- gzip on;
- gzip_disable "msie6";
- gzip_min_length 1000;
- gzip_proxied expired no-cache no-store private auth;
- gzip_types text/plain application/xml application/javascript text/css application/x-javascript;
- ssl_ciphers ALL:!kEDH!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
- …
- }
我重現(xiàn)執(zhí)行了原來的壓力測試：
- -p 1-250:60 https://mydomian.com
這是結(jié)果：
真的有效！！！！
嘗試 #8: 我真的需要增強(qiáng)硬件
太棒了，EC2與Linode在性能上很接近。但是我真的需要c1.medium實(shí)例來獲得這種性能么？可能不需要... 所以我將EC2的實(shí)例類型改回了t1.micro。
因?yàn)閙icro實(shí)例只有一個CPU，所有我在/etc/nginx/nginx.conf中減少了worker_processes。
- worker_processes 1;
這是結(jié)果：
嗯，額外的硬件是有幫助的。
結(jié)論
想要在使用了SSL的Nginx服務(wù)器上獲得最好的性能，如下操作：
- 默認(rèn)使用的DH算法是低性能的最大原因。改變SSL密碼設(shè)置如下：
- ssl_ciphers ALL:!kEDH!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
- 升級EC2從t1.micro到c1.medium
- 因?yàn)閏1.medium有兩個CPUs，所有設(shè)置Nginx有兩個工作進(jìn)程。
