从负载均衡器到上游服务器的encryption隧道。 SSH与SSL？

我们正在用两个负载平衡器（也可以终止SSL）和多个上游服务器构build一个负载均衡设置。 负载均衡器和上游服务器都运行nginx。 请求转发到上游服务器的networking不能被信任，因此我们必须在负载平衡器上的SSL终止之后重新encryption它。 我们想知道我们应该采取什么样的路线来重新encryption连接：

• SSL：负载均衡器使用SSL连接到上游服务器。
  • 积极的：相当有弹性，因为每一个连接都是从头build立起来的
  • 负面：SSL握手延迟
• 持久的SSH隧道
  • 正面的：没有（或更less？）延迟
  • 负面：隧道可能会崩溃，必须使用autossh进行监控

另外，我不确定两种解决scheme在吞吐量上的比较。 有人对这些解决scheme中的一个或两个有一些经验吗？ 还是有更好的方法？