Was ist OCSP -Stapel und wie kann man es in Nginx aktivieren?

OCSP Stapling ist eine Technologie, die den HTTPS -Handshake optimiert und es den Servern ermöglicht, während des TLS -Handshake aktiv Zertifikat -Widerrufstatusinformationen bereitzustellen und Kunden zu vermeiden, dass Clients die OCSP -Server von CAS individuell anfordern. 1. Es beschleunigt das Laden von Seite, reduziert den CA -Druck und verbessert die Sicherheit. 2. Aktivieren Sie in Nginx, um sicherzustellen, dass das Zertifikat OCSP unterstützt, die Zertifikatkette vollständig und Nginx OpenSSL unterstützt. 3. Zu den spezifischen Schritten gehören das Zusammenführen von Zertifikatskettendateien, das Konfigurieren von SSL_Certificate, das Einschalten von SSL_Stapling und SSL_Stapling_verify sowie das Einrichten von DNS -Resolvers; 4. Häufige Probleme sind Kunden, die nicht unterstützend sind, Zertifikate ohne OCSP -Adresse, DNS oder Firewall -Beschränkungen sowie unvollständige Zertifikatskette; 5. Sie können überprüfen, ob der Aktivierte durch den SSL Labs -Test erfolgreich ist und einige CDNs standardmäßig unterstützt wurden.

OCSP Stapling ist eine Technologie, mit der der HTTPS -Handshake -Prozess beschleunigt wird. Er ermöglicht dem Server, dem Client während des TLS -Handschlags aktiv Überprüfungsinformationen zum Widerrufstatus des Zertifikats bereitzustellen, ohne dass der Client die Zertifikatbehörde (CA) für Online -Anfragen an die Zertifikatbehörde (CA) kontaktieren muss.

Dies hat mehrere Vorteile: Es beschleunigt das Laden der Seite, verringert den Druck auf den CA -Server und verbessert auch die Sicherheit. Wenn der Client auf traditionelle Weise nicht auf den OCSP -Server zugreifen kann, kann dies zu einem Verbindungsfehler oder Heruntergraderisiko führen.

Was ist OCSP -Stapel?

OCSP (Online -Zertifikat -Statusprotokoll) ist ein Mechanismus, mit dem Sie überprüfen, ob ein SSL/TLS -Zertifikat widerrufen wurde. Ohne OCSP -Stapelung greift der Browser auf die von der CA bereitgestellte OCSP -Adresse zu, um den Zertifikatstatus für sich selbst zu bestätigen, was zu einer zusätzlichen Verzögerung führt.

Nach dem Aktivieren von OCSP -Stapeln erhält der Server die OCSP -Antwort anstelle des Browsers aktiv und "IT" in seiner eigenen Antwort "post", um sie während des TLS -Handshake an den Client zu senden. Auf diese Weise muss der Client den OCSP -Server nicht mehr separat anfordern und eine Netzwerk -Rundreise speichern.

Diese Funktion ist Teil des TLS -Protokolls und kann so lange wirksam werden, wie sowohl der Client als auch der Server es unterstützen.

Wie kann ich OCSP in Nginx ermöglichen?

Um es zu ermöglichen, OCSP auf Nginx zu bestehen, benötigen Sie die folgenden Voraussetzungen:

• Ihr SSL -Zertifikat muss OCSP unterstützen.
• Sie müssen eine vollständige Zertifikatskette (einschließlich Zwischenzertifikate) haben.
• Nginx muss zur Unterstützung von OpenSSL zusammengestellt werden und eine neuere Version (1.3.7 oder höher oder besser).

Hier sind die spezifischen Schritte:

• Stellen Sie sicher, dass Ihre Zertifikatskette abgeschlossen ist. Zusammenführen Sie Ihr Domain -Zertifikat und Ihr Zwischenzertifikat in eine Datei wie fullchain.pem .
• Setzen Sie ssl_certificate in der Nginx -Konfiguration so, dass sie auf diese vollständige Zertifikatskettendatei hinweisen.
• Fügen Sie Ihrem Serverblock die folgenden Konfigurationselemente hinzu:

 ssl_stapling auf;
ssl_stapling_verify on;
Resolver 8.8.8.8 8.8.4.4 gültig = 300S;
Resolver_Timeout 5S;

In:

• ssl_stapling on; Mittel, um OCSP zu ermöglichen.
• ssl_stapling_verify on; Gibt an, dass die Gültigkeit der OCSP -Antwort erforderlich ist.
• resolver legt die DNS -Resolver -Adresse fest, mit der Nginx die OCSP -Adresse behebt. Es wird empfohlen, öffentliche DNs wie den 8.8.8.8.8 von Google zu verwenden.
• resolver_timeout steuert die DNS -Abfrage -Zeitüberschreitungszeit.

Häufig gestellte Fragen und Vorsichtsmaßnahmen

Manchmal werden Sie feststellen, dass OCSP Stapling nicht wirklich effektiv ist, und mögliche Gründe sind:

• Der Kunde unterstützt es nicht (wie einige ältere Browser).
• Das Zertifikat selbst enthält keine OCSP -Adressinformationen.
• Nginx kann nicht auf den OCSP -Server zugreifen, bei dem es sich um ein Firewall- oder DNS -Problem handelt.
• Die vollständige Zertifikatkette ist nicht korrekt konfiguriert.

Wenn Sie nicht sicher sind, ob es erfolgreich aktiviert ist, können Sie Ihre Website über Online -Tools wie SSL Labs testen, um festzustellen, ob "OCSP Stapling" als unterstützt angezeigt wird.

Darüber hinaus haben einige CDN -Dienste (wie CloudFlare) OCSP standardmäßig ermöglicht, sodass Sie es nicht manuell konfigurieren müssen.

Grundsätzlich ist das. OCSP Stapling ist nicht kompliziert, aber leicht zu ignorieren, insbesondere bei der Verfolgung von Website -Leistung und -sicherheit. Es lohnt sich, einige Minuten zu konfigurieren.

Das obige ist der detaillierte Inhalt vonWas ist OCSP -Stapel und wie kann man es in Nginx aktivieren?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!