.jpg)
如何在Apache和Nginx開啟 OCSP Stapling
更新時間: 2023-08-01 11:59:26
在《什么是OCSP Stapling》文章中提及過OCSP Stapling是為了提高SSL協(xié)商的性能，同時保持訪問者的隱私而生的。那么如何開啟OCSP Stapling服務(wù)呢。本教程將介紹在Apache和Nginx服務(wù)器開啟OCSP Stapling。
檢查服務(wù)器版本
請在開始之前檢查您的服務(wù)器版本。以下服務(wù)器版本才支持OCSP Stapling：
l Apache HTTP服務(wù)器2.3.3版本及以上
l Nginx 1.3.7版本及以上
使用以下命名檢查運行的服務(wù)器版本：
Apache：apache2 –v
Nginx：nginx -v
配置OCSP Stapling
在Apache服務(wù)器上配置OCSP Stapling
1. 修改站點SSL虛擬主機配置文件
添加以下命名到
SSLUseStapling on
添加以下命名到
SSLStaplingCache shmcb:/tmp/stapling_cache(128000)
例如：
SSLStaplingCache shmcb:/tmp/stapling_cache(128000)
SSLEngine on
SSLProtocol all -SSLv3 -SSLv2
SSLCertificateFile /path/to/your_domain_name.crt
SSLCertificateKeyFile /path/to/your_private.key
SSLCertificateChainFile /path/to/DigiCertCA.crt
SSLUseStapling on
2. 執(zhí)行以下命令檢查配置是否有誤；
Apachectl –t
3. 重新加載Apache服務(wù)；
service apache2 reload
4. 配置完成，保存退出，重啟Apache即可。
在Nginx服務(wù)器上配置OCSP Stapling
Nginx 啟用 OCSP Stapling 前提也是要先部署 SSL證書，并可以正常訪問。
1. 編輯站點SSL證書配置文件
添加以下命名到“server { }”行中。
ssl_stapling on;
ssl_stapling_verify on;
例如：
server
{
listen 443 ssl;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_certificate /etc/ssl/bundle.crt;
ssl_certificate_key /etc/ssl/your_domain_name.key;
ssl_stapling on;
ssl_stapling_verify on;
}
2. 執(zhí)行以下命令檢查配置是否有誤；
nginx –t
3. 配置完成，重啟Nginx。
systemctl restart nginx
測試OCSP Stapling 是否成功開啟
本文用兩種方法測試OCSP Stapling 是否成功開啟。
方法1：使用OpenSSL命令。
輸入命令如下：
openssl.exe s_client -connect www.domainame.com:443 -status
將www.domainame.com替換成您的域名。
若站點已成功啟用 OCSP Stapling，會返回提示中有：OCSP Response Status: successful (0x0)
若執(zhí)行后，沒有返回信息，則開啟失敗。
方法2：利用第三方網(wǎng)站域名檢測
檢測地址：https://myssl.com/ssl.html
輸入域名，端口443，點擊進行檢測，在證書信息中，OCSP裝訂狀態(tài)顯示：支持，則表示成功開啟。顯示：不支持，則表示開啟失敗。
以上就是如何在Apache和Nginx開啟 OCSP Stapling的全部內(nèi)容，如果您在配置中有任何疑問，歡迎咨詢官方客服，我們將竭誠為您服務(wù)！
相關(guān)文檔
