linux openssl怎么优化

在 Linux 上使用 OpenSSL 进行“优化”，通常取决于你的使用场景：是做 HTTPS 服务、命令行加解密、还是开发调用 OpenSSL 的程序。下面按常见方向给你一套实用优化建议。

一、升级 OpenSSL 版本（最基础）

老版本不仅慢，还有安全漏洞。

openssl version

建议：

CentOS 7：系统自带 1.0.2，建议编译 1.1.1 或 3.x
Ubuntu 20.04+：自带 1.1.1，Ubuntu 22.04 为 3.0

⚠️ 编译新版注意兼容已有程序（尤其是 Nginx、curl）

二、启用硬件加速（AES-NI / CPU 指令）

现代 CPU 支持 AES-NI，OpenSSL 默认会用，但可确认：

openssl speed aes-128-cbc

若极快（GB/s 级），说明已启用。

确保未禁用：

BIOS 中开启 AES
内核未屏蔽：

cat /proc/cpuinfo | grep aes

三、HTTPS / TLS 性能优化（最常见）

1. 使用 TLS 1.3

ssl_protocols TLSv1.2 TLSv1.3;

TLS 1.3：

握手更快
支持 0-RTT
加密更强

2. 启用会话复用

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

减少重复握手开销。

3. 使用 ECDHE + 现代曲线

ssl_ecdh_curve X25519:prime256v1;

X25519 比传统曲线更快。

4. 使用 OCSP Stapling

ssl_stapling on;
ssl_stapling_verify on;

避免客户端访问 CA。

四、OpenSSL 命令行优化

1. 大文件加密用流式

❌ 不推荐：

openssl enc -aes-256-cbc -in big.iso -out big.iso.enc

✅ 可加：

openssl enc -aes-256-cbc -pbkdf2 -iter 100000 \
  -in big.iso -out big.iso.enc

减少密码派生成本（视安全需求）。

2. 多核并行（OpenSSL 自身不支持）

可用：

split + openssl + cat

或 pigz / parallel

五、编译级优化（高级）

1. 编译时开启优化

./config --prefix=/usr/local/ssl \
  enable-ec_nistp_64_gcc_128 \
  no-shared \
  -O3 -march=native
make -j$(nproc)

2. 使用线程池（如 Nginx）

worker_processes auto;

六、常见性能瓶颈对照表

场景	优化点
HTTPS 慢	TLS1.3 + 会话复用
CPU 高	AES-NI + ECDHE
握手多	OCSP + Session
加密大文件	流式 + 合理迭代
高并发	多进程 / 异步 IO

七、快速检查清单 ✅

[ ] OpenSSL ≥ 1.1.1
[ ] AES-NI 已启用
[ ] TLS 1.3
[ ] 会话复用
[ ] ECDHE + X25519
[ ] OCSP Stapling

如果你能说清楚：

是 Nginx / Apache / 自写程序
是 TLS / 文件加密 / 签名
当前痛点（慢 / CPU 高 / 延迟大）

我可以给你更针对性的配置示例。