더 나은 SSL 성능을 위해 Apache에서 OCSP 스테이플링을 설정하는 방법은 무엇입니까?

Apache에서 OCSP 스테이플링을 가능하게하려면 전제 조건을 충족하고 필요한 지침을 구성하십시오. 먼저, mod_ssl enabled와 함께 Apache 2.4.1을 사용하거나 최신 정보를 사용하고 있으며, OpenSSL 0.9.8H 또는 최신 정보를 제공하고 유효한 SSL 인증서가 설치되어 있는지 확인하십시오. 다음으로 SSLENGINE ON, SSLUSESTAPLING ON 및 SSLSTAPLINGCACHE "SHMCB :/var/run/OCSP (128000)를 추가하여 Apache SSL 가상 호스트 구성 블록을 편집하십시오. 또한 인증서 파일을 가리 키도록 sslcertificatefile, sslcertificatekeyfile 및 sslcertificatechainfile을 올바르게 설정하십시오. 선택적으로 필요한 경우 미세 조정을 위해 sslstaplingResponderTimeout, sslStaplingResponsEtimeskew 또는 sslstaplingStandardCachewHileMgmt를 조정하십시오. 마지막으로 SSL Labs의 SSL 테스트 또는 OpenSSL S_Client 명령을 사용하여 Apache를 다시 시작하고 구성을 테스트하여 OCSP 스테이플 링이 작동하는지 확인하십시오.

OCSP 스테이플 링은 멋진 SSL 기능 일뿐 만 아니라 HTTPS 연결 속도를 높이고 외부 OCSP 서버에 대한 의존도를 줄이는 실용적인 방법입니다. Apache에서이를 활성화함으로써 클라이언트에서 자신의 서버로 인증서 상태 확인을 오프로드하여 핸드 셰이크를보다 빠르고 비공개로 만듭니다.

올바른 설정이 있는지 확인하십시오

구성에 뛰어 들기 전에 환경을 다시 확인하십시오.

• 아파치 버전 : 최소 2.4.1 (바람직하게는 새로)
• mod_ssl을 활성화해야합니다
• OpenSSL 0.9.8H 또는 최신 (OCSP 지원)
• 유효한 SSL 인증서 및 중간 CA 체인이 설치되었습니다

또한 OS/배포에 따라 /etc/httpd/conf.d/ssl.conf 또는 /etc/apache2/sites-available/default-ssl.conf 에있는 Apache Config 파일에 액세스해야합니다.

Let 's Encrypt를 사용하는 경우 좋은 소식 : 인증서는 OCSP 스테이플 링과 함께 잘 작동합니다.

Apache에서 OCSP 스테이플링을 활성화하십시오

OCSP 스테이플 링을 켜려면 Apache SSL 가상 호스트 구성 블록을 편집하십시오. 추가해야 할 사항은 다음과 같습니다.

 SSLENGINE ON
sslusestapling on
sslstaplingcache "shmcb :/var/run/ocsp (128000)"

SSLStaplingCache 라인은 OCSP 응답을위한 공유 메모리 캐시를 설정합니다. 괄호 안의 숫자는 바이트 크기입니다 .128KB는 일반적으로 대부분의 사이트에서 충분합니다. 다양한 인증서가있는 교통량이 많은 사이트를 실행하는 경우이 값을 늘릴 수 있습니다.

또한 SSL 인증서 및 체인이 다음과 같이 올바르게 구성되어 있는지 확인하십시오.

 sslcertificatefile "/path/to/cert.pem"
sslcertificatekeyfile "/path/to/privkey.pem"
sslcertificatechainfile "/path/to/chain.pem"

완전한 체인이 없으면 OCSP 스테이플 링은 안정적으로 작동하지 않을 수 있습니다.

미세 조정 선택적 설정 (필요한 경우)

기본적으로 Apache는 OCSP Fetching을 자동으로 처리합니다. 그러나 더 많은 제어를 원한다면 다음은 몇 가지 선택적 설정이 있습니다.

• SSLStaplingResponderTimeout : Apache가 OCSP 응답자를 기다리는 시간 (기본 3 초)
• SSLStaplingResponseTimeSkew : 응답 타임 스탬프에 대한 Skew Contrance (기본 300 초)
• SSLStaplingStandardCacheWhileMgmt : 표준 캐싱 규칙 사용 여부 (기본적으로 OFF)

예를 들어, CA의 OCSP 서버가 느려지면 타임 아웃을 조정할 수 있습니다.

 sslstaplingResponderTimeout 5

그러나 문제를 해결하거나 특정 요구가 없다면 기본값을 고수하는 것은 괜찮습니다.

그것이 작동하는지 테스트하십시오

Apache ( sudo apachectl graceful )를 다시 시작한 후 설정을 테스트하십시오.

• SSL Labs의 SSL 테스트 사용 - "OCSP Stapling : Yes"를 찾으십시오.
• 또는 다른 컴퓨터 에서이 OpenSSL 명령을 실행하십시오.

 OpenSSL S_CLIENT -CONNECT YOURSITE.com:443 -ServerName yoursite.com -status

출력에서 OCSP response 섹션을 찾으십시오. 거기에 있다면, 당신은 좋습니다.

브라우저와 클라이언트는 눈에 띄는 변화가 표시되지 않지만 Chrome DevTools와 같은 성능 도구는 TLS 협상 시간이 짧을 수 있습니다.

그것은 기본적으로 그것입니다. 어떤 지시를 사용할 지 알면 너무 어렵지 않으며 더 나은 SSL 성능을 위해 가치가 있습니다.

위 내용은 더 나은 SSL 성능을 위해 Apache에서 OCSP 스테이플링을 설정하는 방법은 무엇입니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!