Ubuntu OpenSSL如何配置OCSP Stapling

在Ubuntu上配置OpenSSL以支持OCSP Stapling，可以按照以下步骤进行：

1. 安装必要的软件包

首先，确保你已经安装了openssl和apache2（如果你使用的是Apache服务器）。

sudo apt update
sudo apt install openssl apache2

2. 配置OpenSSL

编辑OpenSSL配置文件（通常位于/etc/ssl/openssl.cnf），添加OCSP Stapling相关的配置。

sudo nano /etc/ssl/openssl.cnf

在文件中找到[ req ]部分，并添加以下内容：

[ req ]
default_bits        = 2048
distinguished_name  = req_distinguished_name
string_mask         = utf8only

[ req_distinguished_name ]
countryName                     = Country Name (2 letter code)
stateOrProvinceName             = State or Province Name
localityName                    = Locality Name
organizationName                = Organization Name
commonName                      = Common Name

[ v3_req ]
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = yourdomain.com

3. 配置Apache

编辑Apache配置文件（通常位于/etc/apache2/sites-available/yourdomain.com.conf），添加OCSP Stapling相关的配置。

sudo nano /etc/apache2/sites-available/yourdomain.com.conf

在<VirtualHost>块中添加以下内容：

<VirtualHost *:443>
    ServerName yourdomain.com
    SSLEngine on
    SSLCertificateFile /path/to/your/certificate.crt
    SSLCertificateKeyFile /path/to/your/private.key
    SSLCertificateChainFile /path/to/your/chainfile.pem

    # OCSP Stapling
    SSLUseStapling on
    SSLStaplingCache "shmcb:/var/run/ocsp(128000)"
</VirtualHost>

确保将/path/to/your/certificate.crt、/path/to/your/private.key和/path/to/your/chainfile.pem替换为你的实际证书路径。

4. 启用OCSP Stapling

启用OCSP Stapling并重启Apache服务器。

sudo a2enmod ssl
sudo a2ensite yourdomain.com.conf
sudo systemctl restart apache2

5. 验证OCSP Stapling

你可以使用openssl命令来验证OCSP Stapling是否正常工作。

openssl s_client -connect yourdomain.com:443 -tls1_2 -tlsextdebug

在输出中查找OCSP response部分，如果看到OCSP Stapling的响应，说明配置成功。

6. 配置防火墙（可选）

如果你使用的是UFW防火墙，确保允许HTTPS流量。

sudo ufw allow 'Apache Full'

通过以上步骤，你应该能够在Ubuntu上成功配置OpenSSL以支持OCSP Stapling。