使用OCSP Stapling Proxy加速NGINX网站响应
OCSP Stapling 什么是 OCSP Stapling OCSP装订（英语：OCSP Stapling），正式名称为TLS证书状态查询扩展，可代替在线证书状态协议（OCSP）来查询X.509证书的状态。服务器在TLS握手时发送事先缓存的OCSP响应，用户只需验证该响应的有效性而不用再向数字证书认证机构（CA）发送请求。 存在问题 如上所述，当用户请求网站时，需要进行OCSP查询来确定证书状态。然而 let’s encrypt 服务器并不在国内，访问速度慢，且域名记录容易被污染，就有可能造成 访问速度慢造成打开网页卡顿一段时间后才能顺利访问网站 域名、ip被污染或者墙，则无法打开网站 如何解决 使用OCSP装订在服务端直接查询证书状态，并将结果一并返回给客户端，用户不再需要主动访问ocsp服务器检查证书。 简单开启 OCSP Stapling 增加NGINX装载配置 1 2 3 ssl_stapling on; resolver 223.5.5.5 114.114.114.114 valid=300s; resolver_timeout 5s; 在http或者server增加以上配置，则已经开启了OCSP装订功能。 检查装订效果 检查命令 1 2 HOST="www.example.com" openssl s_client -connect ${HOST}:443 -servername ${HOST} -status -tlsextdebug < /dev/null 2>&1 | grep -i "OCSP response" 检查结果 注意，您可能需要多次请求才能得到已装订的结果，这取决于nginx的woker数量 未装订 1 OCSP response: no response sent 已经装订 1 2 3 4 OCSP response: OCSP Response Data: OCSP Response Status: successful (0x0) Response Type: Basic OCSP Response 使用OCSP代理 还存在的问题 通常，简单开始nginx OCSP Staping 功能已经满足大多数用户的需求，但是还可能存在以下问题：...
