怎么启用OCSP Stapling

OCSP Stapling（Online Certificate Status Protocol Stapling）是一种增强SSL/TLS连接安全性的技术，它通过将证书吊销状态嵌入SSL/TLS握手中，减少了对外部OCSP服务器的查询。启用OCSP Stapling可以提高安全性和性能，减少对证书颁发机构的依赖。

1. 在 Apache 中启用 OCSP Stapling

在 Apache 中启用 OCSP Stapling，您需要确保 Apache 的 SSL 模块和相应的 OCSP 配置支持。以下是启用 OCSP Stapling 的步骤：

步骤 1：确保加载 SSL 模块

首先，确保 Apache 已经启用了 mod_ssl 和 mod_socache_shmcb 模块（这是 OCSP Stapling 所需的模块）。如果没有启用，可以通过以下命令启用：

sudo a2enmod ssl
sudo a2enmod socache_shmcb

步骤 2：编辑 Apache 配置

打开 Apache 配置文件并确保以下配置存在或添加它们：

<VirtualHost *:443>
    SSLEngine on
    SSLCertificateFile /path/to/your/certificate.crt
    SSLCertificateKeyFile /path/to/your/private.key
    SSLCertificateChainFile /path/to/your/chainfile.pem
    
</VirtualHost>
    # 启用 OCSP Stapling
    SSLUseStapling on
    SSLStaplingCache "shmcb:/var/run/ocsp(128000)"

• SSLUseStapling on：启用 OCSP Stapling。
• SSLStaplingCache：配置一个缓存来存储OCSP响应，以便能够在后续连接中重复使用。
• 确保它位于 <VirtualHost> 外部

步骤 3：重启 Apache

配置完成后，重启 Apache 服务以使更改生效：

sudo systemctl restart apache2

2. 在 Nginx 中启用 OCSP Stapling

在 Nginx 中启用 OCSP Stapling，同样需要确保 SSL 模块已启用。以下是启用 OCSP Stapling 的步骤：

步骤 1：确保 Nginx 支持 OCSP Stapling

确保您使用的是支持 OCSP Stapling 的 Nginx 版本（Nginx 1.3.7 及以上版本）。然后，确保 Nginx 配置文件启用了相关配置。

步骤 2：编辑 Nginx 配置

打开您的 Nginx 配置文件，并添加以下配置：

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /path/to/your/certificate.crt;
    ssl_certificate_key /path/to/your/private.key;
    ssl_trusted_certificate /path/to/your/chainfile.pem;

    # 启用 OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;

    # 可选：指定OCSP响应缓存路径
    ssl_stapling_cache shared:SSL:10m;
}

• ssl_stapling on;：启用 OCSP Stapling。
• ssl_stapling_verify on;：启用 OCSP 响应验证。

步骤 3：重启 Nginx

配置完成后，重启 Nginx 服务：

sudo systemctl restart nginx

3. 验证是否启用 OCSP Stapling

您可以通过几种方法验证是否启用了 OCSP Stapling。

方法 1：使用 openssl 命令

使用 openssl 命令行工具可以检查响应中是否包含 OCSP Stapling：

openssl s_client -connect yourdomain.com:443 -status

在返回的输出中，查找 OCSP Response Status 字段：

OCSP Response Status: successful (0x0)

如果您看到 OCSP Response Status: successful，表示启用了 OCSP Stapling。

方法 2：使用在线工具

可以使用一些在线工具来检查证书的 OCSP Stapling 配置。例如：

• SSL Labs SSL Test：SSL Labs 会在测试结果中显示是否启用了 OCSP Stapling。
• IsItDownRightNow：部分工具也可以帮助检查是否启用 OCSP Stapling。

总结

启用 OCSP Stapling 对于提高 SSL/TLS 连接的性能和安全性非常重要。通过在 Apache 和 Nginx 中正确配置，您可以确保您的服务器为每个客户端提供最新的证书吊销状态，并减少对外部 OCSP 服务器的依赖。