OpenSSL在Linux中如何配置OCSP Stapling

OCSP Stapling是一种优化TLS/SSL握手过程的方法，通过将在线证书状态协议（OCSP）响应附加到TLS握手过程中，从而减少客户端验证证书状态所需的时间。以下是在Linux系统中使用OpenSSL配置OCSP Stapling的步骤：

1. 安装必要的软件包

确保你的系统上已经安装了OpenSSL和Nginx（或其他支持OCSP Stapling的Web服务器）。如果没有安装，可以使用以下命令进行安装：

sudo apt-get update
sudo apt-get install openssl nginx

2. 配置OpenSSL以支持OCSP Stapling

编辑OpenSSL配置文件（通常位于/etc/ssl/openssl.cnf或/etc/pki/tls/openssl.cnf），添加或修改以下内容：

[ req ]
default_bits        = 2048
prompt              = no
default_md          = sha256
distinguished_name  = dn
x509_extensions     = x509_ext

[ dn ]
C=US
ST=State
L=City
O=Organization
OU=Organizational Unit
CN=Common Name

[ x509_ext ]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer
basicConstraints = critical, CA:FALSE
keyUsage = critical, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
ocsp_nocheck = no

3. 配置Nginx以启用OCSP Stapling

编辑Nginx配置文件（通常位于/etc/nginx/nginx.conf或/etc/nginx/sites-available/default），添加或修改以下内容：

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    ssl_stapling on;
    ssl_stapling_verify on;

    ssl_trusted_certificate /path/to/chain.pem;

    location / {
        root   /var/www/html;
        index  index.html index.htm;
    }

    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
    }
}

4. 重启Nginx服务

保存配置文件后，重启Nginx服务以应用更改：

sudo systemctl restart nginx

5. 验证OCSP Stapling是否启用

你可以使用以下命令来验证OCSP Stapling是否成功启用：

openssl s_client -connect example.com:443 -tls1_2 -tlsextdebug

在输出中查找OCSP response字段，如果存在且不为空，则表示OCSP Stapling已成功启用。

注意事项

• 确保你的证书颁发机构（CA）支持OCSP Stapling，并且你的证书链是完整的。
• 如果你的服务器位于防火墙后面，确保防火墙允许OCSP请求通过。
• 定期更新你的证书和密钥文件，以确保安全。

通过以上步骤，你应该能够在Linux系统中成功配置OpenSSL以支持OCSP Stapling。