Apache中配置SSLCache实现分布式环境下的会话共享

核心结论：SSLSessionCache 不支持分布式共享

SSLSessionCache 是 Apache 原生的本地会话缓存机制，只能在同一台机器的进程间共享，无法跨服务器使用。它底层依赖 shmcb（共享内存环状缓冲）或 dbm（磁盘文件），这两种存储都不是网络可访问的。

如果你希望在多台 Apache 服务器组成的集群中实现 TLS 会话复用，正确方案是：

方案一：启用 SSLSessionTickets + 共享 Ticket Key（推荐）

会话票证（Session Tickets）是一种服务端无状态的会话恢复机制。服务器将会话信息加密后存储在客户端，无需后端共享存储，天然适合分布式环境。

配置步骤

1. 生成统一的 Ticket Key 文件

选择一台服务器，生成 48 字节的随机密钥（AES256 加密需要）：

dd if=/dev/urandom of=/etc/apache2/ssl/ticket.key bs=48 count=1
chmod 600 /etc/apache2/ssl/ticket.key

2. 将该密钥文件分发到集群中所有 Apache 服务器

保持路径和权限一致（仅 root 可读）。

3. 在每台服务器的 SSL 配置中添加以下指令

<VirtualHost *:443>
    ServerName yourdomain.com
    SSLEngine on
    SSLCertificateFile /path/to/certificate.crt
    SSLCertificateKeyFile /path/to/private.key
    # 启用会话票证
    SSLSessionTickets on
    # 指定共享的票据密钥文件（所有节点必须相同）
    SSLSessionTicketKeyFile /etc/apache2/ssl/ticket.key
    # 可选：仍然配置本地缓存作为备降方案
    SSLSessionCache "shmcb:/var/run/apache2/ssl_scache(512000)"
    SSLSessionCacheTimeout 300
</VirtualHost>

4. 重启 Apache

sudo systemctl restart apache2

注意事项

• Apache 2.4.12+ 才完整支持密钥轮换，旧版本只能使用静态密钥
• 如需更换密钥，所有节点必须同步更新，否则客户端携带旧票证会被拒绝
• 部分老旧客户端（如某些 Android 版本）对票证支持不完善

方案二：使用 Memcached 作为集中式会话缓存

如果必须使用服务端存储模式（例如客户端不支持票证），可以配置 Apache 使用 Memcached 作为共享缓存后端。

前置条件

需要加载 mod_socache_memcache 模块：

sudo a2enmod socache_shmcb  # 基础模块
# 需要额外编译或安装 mod_socache_memcache

配置示例

# 加载 Memcached 缓存模块
LoadModule socache_memcache_module modules/mod_socache_memcache.so
# 配置 Memcached 服务器地址（全局或 VirtualHost 内）
SSLSessionCache "memcache:192.168.1.10:11211,192.168.1.11:11211"
SSLSessionCacheTimeout 300

Apache 官方提供了四种缓存提供者：dbm、dc（distcache）、memcache、shmcb，其中仅 memcache 和 dc 支持分布式场景。

⚠️ mod_socache_memcache 并非所有发行版默认编译，如需使用可能需要从源码编译 Apache 或安装第三方模块。

方案三：负载均衡层解决（粘性会话）

如果不想改动 TLS 层配置，可以在负载均衡器（如 Nginx、HAProxy、F5）上开启粘性会话（Sticky Sessions），确保同一客户端的请求始终路由到同一台后端服务器。

这种方式下，每台服务器使用本地的 SSLSessionCache shmcb 即可，无需跨节点共享。但缺点是：某台服务器故障时，该服务器上的会话将丢失，客户端需要重新完整握手。

验证配置是否生效

1. 启用 server-status 查看缓存状态

<IfModule mod_status.c>
    ExtendedStatus On
    <Location /server-status>
        SetHandler server-status
        Require local  # 或限制来源 IP
    </Location>
</IfModule>

访问 http://your-server/server-status，查找 SSL/TLS Session Cache 部分，确认有缓存命中记录。

2. 使用 curl 测试会话复用

# 第一次连接（握手）
curl -v https://yourdomain.com/ --cacert ca.pem 2>&1 | grep -i "session"
# 第二次连接（应显示 session reused）
curl -v https://yourdomain.com/ --cacert ca.pem 2>&1 | grep -i "session"

常见误区提醒

总结

对于绝大多数场景，启用 SSLSessionTickets on 并保持所有节点票据密钥一致是最简洁有效的方案。

到此这篇关于Apache中配置SSLCache实现分布式环境下的会话共享的文章就介绍到这了,更多相关Apache SSLCache会话共享内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！

最新评论