开启 OCSP Stapling

微信扫一扫,分享到朋友圈

开启 OCSP Stapling

之前有人抱怨这个小破站打开慢。

我想我这种 lighthouse 打满分的同学,怎么可能…结果发现,是因为 Let’s Enrypt 用来做 OCSP 验证的域名被众所周知的力量污染了(目前是 ocsp.int-x3.letsencrypt.org
的 CName 域名 a771.dscq.akamai.net
受到了干扰),所以 iOS 客户端的同学都会卡几秒钟做校验。

网上有很多通过打开 OCSP Stapling
来解决问题的帖子。但实际上,如果你的服务器在国内,是拿不到 OCSP Response 的。

当时我乐观地觉得,这种让所有 Let’s Encrypt 证书网站都不要玩儿的污染持续不了多久,先不管它吧。

然后三个月过去了。

所以在国内服务器上,如果你和我一样使用 nginx,只是正常开启 OCSP Stapling 的话:

# OSCP
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/lenciel.com/chain.pem;

重启 nginx 之后你用 openssl 的命令检查 OSCP Stapling 是否开启(可以用 SSL Labs
但是比较慢)会看到下面的输出,表明开启失败:

$ openssl s_client -connect lenciel.com:443 -servername lenciel.com -status -tlsextdebug < /dev/null 2>&1 | grep -i "OCSP response"
OCSP response: no response sent

我看网上很多同学在苦苦追问为啥失败。其实不是你的配置失败,而是你的服务器的户口所在地比较失败,如果去 Nginx 的日志里面检查就会看到大量因为收不到 responder 的报错:

2020/09/28 11:27:39 [error] 22565#0: OCSP responder timed out (110: Connection timed out) while requesting certificate status, responder: ocsp.int-x3.letsencrypt.org, peer: 108.160.167.30:80, certificate: "/etc/letsencrypt/live/lenciel.com-0001/fullchain.pem"
2020/09/28 11:35:29 [error] 22564#0: OCSP responder timed out (110: Connection timed out) while requesting certificate status, responder: ocsp.int-x3.letsencrypt.org, peer: 108.160.167.30:80, certificate: "/etc/letsencrypt/live/lenciel.com-0001/fullchain.pem"

解决起来有各种办法,说白了就是要让你这台服务器正常访问到 ocsp.int-x3.letsencrypt.org。我选择了 doh-proxy

再检查就可以看到访问成功了:

$ openssl s_client -connect lenciel.com:443 -servername lenciel.com -status -tlsextdebug < /dev/null 2>&1 | grep -i "OCSP response"
OCSP response:
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response

需要注意的是,和所有缓存一样,它设置成功之后需要几次访问才会刷新,以及,它会过期…通过一些简单的脚本可以把这部分也自动化了。

设计师笔记本电脑推荐 ThinkBook 15p视觉系创造本你值得拥有

上一篇

虎林Pick线下沙龙圆满落幕,解锁明星跨界电竞直播新风向

下一篇

你也可能喜欢

开启 OCSP Stapling

长按储存图像,分享给朋友