Chuyển tới nội dung chính

Làm thế nào để bật OCSP Stapling trên Apache và Nginx?

Trong bài viết《OCSP Stapling là gì》đã đề cập rằng OCSP Stapling ra đời nhằm cải thiện hiệu suất bắt tay SSL đồng thời bảo vệ quyền riêng tư của người truy cập. Vậy làm thế nào để bật dịch vụ OCSP Stapling? Hướng dẫn này sẽ giới thiệu cách bật OCSP Stapling trên máy chủ Apache và Nginx.

HowToSetIPSSL

Kiểm tra phiên bản máy chủ​

Vui lòng kiểm tra phiên bản máy chủ của bạn trước khi bắt đầu. Chỉ các phiên bản máy chủ sau đây mới hỗ trợ OCSP Stapling:

  • Apache HTTP Server phiên bản 2.3.3 trở lên
  • Nginx phiên bản 1.3.7 trở lên

Sử dụng lệnh sau để kiểm tra phiên bản máy chủ đang chạy:

Apache：apache2 –v
Nginx：nginx -v

Cấu hình OCSP Stapling​

Cấu hình OCSP Stapling trên máy chủ Apache

  1. Sửa tệp cấu hình SSL virtual host của trang

Thêm các chỉ thị sau vào dòng để bật OCSP;

SSLUseStapling on

Thêm các định danh sau vào ngoài dòng,

SSLStaplingCache shmcb:/tmp/stapling_cache(128000)

Ví dụ:

SSLStaplingCache shmcb:/tmp/stapling_cache(128000)

SSLEngine on
SSLProtocol all -SSLv3 -SSLv2

SSLCertificateFile /path/to/your_domain_name.crt
SSLCertificateKeyFile /path/to/your_private.key
SSLCertificateChainFile /path/to/DigiCertCA.crt

SSLUseStapling on
  1. Thực hiện lệnh sau để kiểm tra cấu hình có lỗi hay không;
Apachectl –t
  1. Tải lại dịch vụ Apache;
service apache2 reload
  1. Hoàn tất cấu hình, lưu và thoát, khởi động lại Apache là được.

Cấu hình OCSP Stapling trên máy chủ Nginx​

Để bật OCSP Stapling trên Nginx, điều kiện tiên quyết cũng là phải triển khai chứng chỉ SSL trước và có thể truy cập bình thường.

  1. Chỉnh sửa tệp cấu hình chứng chỉ SSL của trang

Thêm các lệnh sau vào dòng “server ”.

ssl_stapling on;
ssl_stapling_verify on;

Ví dụ:

server

{
listen 443 ssl;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_certificate /etc/ssl/bundle.crt;
ssl_certificate_key /etc/ssl/your_domain_name.key;

ssl_stapling on;
ssl_stapling_verify on;
}
  1. Chạy lệnh sau để kiểm tra cấu hình có lỗi hay không;
nginx –t
  1. Hoàn tất cấu hình, khởi động lại Nginx.
systemctl restart nginx

Kiểm tra OCSP Stapling đã được bật thành công hay chưa​

Bài viết này sử dụng hai phương pháp để kiểm tra xem OCSP Stapling đã được bật thành công hay chưa.

Phương pháp 1: Sử dụng lệnh OpenSSL.​

Nhập lệnh như sau:

openssl.exe s_client -connect www.domainame.com:443 -status

Thay www.domainame.com bằng tên miền của bạn.

Nếu trang web đã bật OCSP Stapling thành công, kết quả trả về sẽ có thông báo: OCSP Response Status: successful (0x0)

Nếu sau khi thực thi không có thông tin trả về, nghĩa là bật thất bại.

Cách 2: Dùng công cụ kiểm tra tên miền trang web​

Địa chỉ kiểm tra: Kiểm tra chứng chỉ SSL

Nhập tên miền, cổng 443, nhấp để kiểm tra, trong thông tin chứng chỉ, trạng thái OCSP Stapling hiển thị: Hỗ trợ, nghĩa là đã bật thành công. Hiển thị: Không hỗ trợ, nghĩa là bật thất bại.

Trên đây là toàn bộ nội dung về cách bật OCSP Stapling trên Apache và Nginx. Nếu bạn có bất kỳ thắc mắc nào trong quá trình cấu hình, vui lòng liên hệ bộ phận hỗ trợ khách hàng chính thức, chúng tôi sẽ phục vụ bạn tận tình!

Cập nhật lần cuối vào