跳至主要内容

如何在 Apache 和 Nginx 開啟 OCSP Stapling？

在《什麼是 OCSP Stapling》文章中提及過 OCSP Stapling 是為了提高 SSL 協商的效能，同時保持訪客的隱私而生的。那麼如何開啟 OCSP Stapling 服務呢。本教學將介紹在 Apache 和 Nginx 伺服器開啟 OCSP Stapling。

HowToSetIPSSL

檢查伺服器版本​

請在開始之前檢查您的伺服器版本。以下伺服器版本才支援 OCSP Stapling：

  • Apache HTTP 伺服器 2.3.3 版本及以上
  • Nginx 1.3.7 版本及以上

使用以下命名檢查執行的伺服器版本：

Apache：apache2 –v
Nginx：nginx -v

設定 OCSP Stapling​

在 Apache 伺服器上設定 OCSP Stapling

  1. 修改站台 SSL 虛擬主機設定檔

新增下列指令到行中，啟用 OCSP；

SSLUseStapling on

在行外新增以下命名：

SSLStaplingCache shmcb:/tmp/stapling_cache(128000)

例如：

SSLStaplingCache shmcb:/tmp/stapling_cache(128000)

SSLEngine on
SSLProtocol all -SSLv3 -SSLv2

SSLCertificateFile /path/to/your_domain_name.crt
SSLCertificateKeyFile /path/to/your_private.key
SSLCertificateChainFile /path/to/DigiCertCA.crt

SSLUseStapling on
  1. 執行以下命令檢查配置是否有誤；
Apachectl –t
  1. 重新載入 Apache 服務；
service apache2 reload
  1. 配置完成，保存退出，重啟 Apache 即可。

在Nginx伺服器上配置OCSP Stapling​

Nginx 啟用 OCSP Stapling 前提也是要先部署 SSL 證書，並可以正常存取。

  1. 編輯站點 SSL 證書設定檔

新增以下命名到「server 」行中。

ssl_stapling on;
ssl_stapling_verify on;

例如：

server

{
listen 443 ssl;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_certificate /etc/ssl/bundle.crt;
ssl_certificate_key /etc/ssl/your_domain_name.key;

ssl_stapling on;
ssl_stapling_verify on;
}
  1. 執行以下命令檢查設定是否有誤；
nginx –t
  1. 配置完成，重新啟動 Nginx。
systemctl restart nginx

測試 OCSP Stapling 是否成功開啟​

本文用兩種方法測試 OCSP Stapling 是否成功開啟。

方法1：使用OpenSSL命令。​

輸入命令如下：

openssl.exe s_client -connect www.domainame.com:443 -status

將 www.domainame.com 替換成您的網域。

若站點已成功啟用 OCSP Stapling，會返回提示中有：OCSP Response Status: successful (0x0)

若執行後，沒有返回資訊，則開啟失敗。

方法2：利用工具檢測網站網域​

檢測地址：SSL憑證檢測

輸入網域，連接埠443，點擊進行檢測，在憑證資訊中，OCSP 裝訂狀態顯示：支援，則表示成功開啟。顯示：不支援，則表示開啟失敗。

以上就是如何在 Apache 和 Nginx 開啟 OCSP Stapling 的全部內容，如果您在配置中有任何疑問，歡迎諮詢官方客服，我們將竭誠為您服務！

最後於 更新