TLS · 2026-09-25

会话票据没生效,可能只是 key 没轮换

服务端开了 session tickets,客户端也支持,但抓包看恢复率很低。这种时候先别怀疑客户端——检查 ticket key 的轮换周期。

多台后端各自生成自己的 key,负载均衡没有会话粘性时,客户端拿着 A 的 ticket 找到 B,B 不认识,只能走完整握手。表现就是恢复率随节点数成反比下降。

解决方式有两种:把 ticket key 换成共享的静态 key(安全性下降,需要定期轮换),或者启用会话粘性。前者更简单,后者更安全。

还有一个隐蔽点:某些实现的 key 存在内存里,进程重启就换;滚动发布期间恢复率会短暂归零,如果监控只看平均值,会以为一直正常。

← 返回目录