centos nginx ssl配置如何支持ocsp stapling - 问答

要在 CentOS 上的 Nginx 配置中启用 OCSP Stapling，你需要确保你的 Nginx 版本支持这个特性（Nginx 1.1.13 及以上版本支持），并且你的 OpenSSL 版本支持 OCSP Stapling（OpenSSL 1.0.1 及以上版本支持）。以下是启用 OCSP Stapling 的步骤：

更新 Nginx 和 OpenSSL：确保你的 Nginx 和 OpenSSL 都是最新版本。你可以使用以下命令来更新它们：
```
sudo yum update nginx openssl
```
获取证书和私钥：确保你已经有了 SSL 证书和私钥。通常，这些文件位于 /etc/pki/tls/certs/ 和 /etc/pki/tls/private/ 目录下。

配置 Nginx：编辑你的 Nginx 配置文件，通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/conf.d/your_domain.conf。在 server 块中添加或修改以下配置：

server {
    listen 443 ssl;
    server_name your_domain.com;

    ssl_certificate /etc/pki/tls/certs/your_domain.crt;
    ssl_certificate_key /etc/pki/tls/private/your_domain.key;

    # OCSP Stapling 配置
    ssl_stapling on;
    ssl_stapling_verify on;

    # 可选：指定 OCSP Stapling 的响应缓存时间
    ssl_stapling_cache max=1m active=60s inactive=60s;

    # 可选：指定 CA 证书路径（如果需要）
    ssl_trusted_certificate /etc/pki/tls/certs/ca-bundle.crt;

    # 其他 SSL 配置...
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        # 你的其他配置...
    }
}

重启 Nginx：保存配置文件并重启 Nginx 以应用更改：
```
sudo systemctl restart nginx
```
验证 OCSP Stapling：你可以使用 openssl 命令来验证 OCSP Stapling 是否启用：
```
openssl s_client -connect your_domain.com:443 -tls1_2 -status -no_ssl2 -no_ssl3
```
在输出中，你应该能看到 OCSP response: no response detected 或者类似的消息，表示 OCSP Stapling 正在工作。

通过以上步骤，你应该能够在 CentOS 上的 Nginx 中成功启用 OCSP Stapling。

0 赞

0 踩