以下是 通过 Nginx 和 Apache 启用 OCSP Stapling 的详细配置指南，帮助您减少证书验证延迟并提升 HTTPS 性能：
一、OCSP Stapling 核心原理
• 目的：服务器定期从 CA 获取 OCSP（在线证书状态协议）响应，缓存后在 TLS 握手时直接发送给客户端，避免客户端单独查询 CA。
• 优势：
• 降低延迟：减少客户端验证证书吊销状态的往返时间。
• 减轻 CA 负载：避免大量客户端直接查询 CA 服务器。
• 增强隐私：隐藏客户端与 CA 的通信细节。
二、Nginx 配置 OCSP Stapling
1. 修改 Nginx 配置文件
server {
listen 443 ssl http2;
server_name example.com;
# SSL 证书路径
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
# 启用 OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;
# 指定 CA 证书路径（用于验证 OCSP 响应）
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
# 缓存 OCSP 响应（路径和超时时间）
ssl_stapling_file /var/lib/nginx/ocsp/example.com.ocsp;
ssl_stapling_cache_timeout 86400; # 缓存 24 小时
# 其他 SSL 配置
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
}
2. 创建 OCSP 响应缓存目录
sudo mkdir -p /var/lib/nginx/ocsp
sudo chown -R www-data:www-data /var/lib/nginx/ocsp
3. 手动触发 OCSP 响应获取（首次配置）
sudo openssl ocsp -issuer /etc/letsencrypt/live/example.com/chain.pem \
-cert /etc/letsencrypt/live/example.com/fullchain.pem \
-url http://ocsp.int-x3.letsencrypt.org/ \
-text \
-out /var/lib/nginx/ocsp/example.com.ocsp
4. 自动更新 OCSP 响应（通过 Cron）
# 编辑 Cron 任务
sudo crontab -e
# 添加以下内容（每日凌晨 2 点更新）
0 2 * * * /usr/bin/openssl ocsp -issuer /etc/letsencrypt/live/example.com/chain.pem \
-cert /etc/letsencrypt/live/example.com/fullchain.pem \
-url http://ocsp.int-x3.letsencrypt.org/ \
-text \
-out /var/lib/nginx/ocsp/example.com.ocsp
5. 重启 Nginx
sudo systemctl reload nginx
三、Apache 配置 OCSP Stapling
1. 修改 Apache 配置文件
<VirtualHost *:443>
ServerName example.com
# SSL 证书路径
SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
# 启用 OCSP Stapling
SSLUseStapling on
SSLStaplingCache "shmcb:logs/ssl_stapling(32768)"
# 指定 CA 证书路径（用于验证 OCSP 响应）
SSLCACertificateFile /etc/letsencrypt/live/example.com/chain.pem
# 其他 SSL 配置
SSLProtocol TLSv1.2 TLSv1.3
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256
</VirtualHost>
2. 手动触发 OCSP 响应获取（首次配置）
sudo openssl ocsp -issuer /etc/letsencrypt/live/example.com/chain.pem \
-cert /etc/letsencrypt/live/example.com/fullchain.pem \
-url http://ocsp.int-x3.letsencrypt.org/ \
-text \
-out /etc/letsencrypt/live/example.com/ocsp_response.der
3. 自动更新 OCSP 响应（通过 Cron）
# 编辑 Cron 任务
sudo crontab -e
# 添加以下内容（每日凌晨 2 点更新）
0 2 * * * /usr/bin/openssl ocsp -issuer /etc/letsencrypt/live/example.com/chain.pem \
-cert /etc/letsencrypt/live/example.com/fullchain.pem \
-url http://ocsp.int-x3.letsencrypt.org/ \
-text \
-out /etc/letsencrypt/live/example.com/ocsp_response.der
4. 重启 Apache
sudo systemctl reload apache2
四、验证 OCSP Stapling 是否生效
1. 使用 OpenSSL 命令检查
openssl s_client -connect example.com:443 -status -tlsextdebug < /dev/null 2>&1 | grep -i "OCSP response"
• 成功标志：输出包含 OCSP Response Status: successful。
2. 通过浏览器检查
• 访问 https://example.com，点击地址栏锁图标 → 查看证书详细信息 → 检查 OCSP 字段是否显示 Response received。
3. 使用在线工具（如 crt.sh）
• 输入域名查询证书信息，检查 OCSP 状态是否为 Good。
五、常见问题与解决方法
1. OCSP 响应获取失败
• 原因：CA 的 OCSP 服务器不可达或证书链不完整。
• 解决：
• 检查防火墙是否放行 ocsp.int-x3.letsencrypt.org:80。
• 确保 ssl_trusted_certificate 包含完整的中间证书链。
2. 客户端不支持 OCSP Stapling
• 影响：客户端会回退到单独 OCSP 查询。
• 建议：优先使用现代浏览器（Chrome、Firefox、Edge）。
3. OCSP 响应过期
• 现象：浏览器提示 OCSP response is expired。
• 解决：缩短 Cron 任务执行频率（如每小时更新）。
六、总结
通过启用 OCSP Stapling，您的 HTTPS 服务将获得以下收益：
- 性能提升：减少客户端证书验证延迟。
- 可靠性增强：避免 CA 服务器过载导致的验证失败。
- 安全合规：满足 PCI DSS 等合规性要求。
配置要点：
• 确保证书链完整（包括中间证书）。
• 定期更新 OCSP 响应（建议每日自动更新）。
• 监控 OCSP 服务器可用性（如通过 Nagios 或 Prometheus）。