如何通过Nginx配置Ocsp Stapling优化SSL握手，显著增强安全与提升性能？

本文共计1112个文字，预计阅读时间需要5分钟。

OCSP Stapling 可以显著减少 TLS 持续握手延迟、避免客户端直接访问 CA，但配置不全或顺序错误时，ssl_stapling 不会报错，而是压根不响应 OCSP。

ssl_stapling on 为什么没生效？常见静默失败原因

Nginx 启动不报错、nginx -t 也通过，但 openssl s_client -connect example.com:443 -status 始终返回 OCSP response: no response sent，大概率是以下某一项缺失：

• resolver 未配置：Nginx 不读 /etc/resolv.conf，必须显式写在 http 或 server 块里，否则 DNS 解析失败，OCSP 请求直接跳过
• ssl_trusted_certificate 指向文件为空、路径错误，或内容不包含用于验证 OCSP 响应签名的根+中间证书（注意：不能复用 ssl_certificate 文件，后者通常不含根证书）
• 证书本身没带 authorityInfoAccess 扩展：用 openssl x509 -in example.com.crt -text -noout | grep -A1 "OCSP" 查不到 OCSP - URI: 行，说明 CA 没提供 OCSP 地址，ssl_stapling 自动退化
• ssl_stapling_verify on 开启后，若 ssl_trusted_certificate 不完整，Nginx 会禁用 stapling 而非报错（日志里可能只有 no suitable certificate found 这类模糊提示）

resolver 配置不当会拖慢 TLS 握手甚至导致超时

DNS 解析卡住时，OCSP 获取流程会阻塞整个 stapling 流程。Nginx 默认无 resolver、无缓存、无超时控制，极易引发连锁问题：

• 必须写 resolver 8.8.8.8 1.1.1.1 valid=300s;（推荐至少两个公共 DNS），valid=300s 控制缓存时间，太短增加解析压力，太长无法响应 OCSP 域名变更
• 必须配 resolver_timeout 5s;，否则默认无限等待；实测超过 2s 就可能影响首字节时间（TTFB）
• 若服务器仅支持 IPv6，要加 resolver ipv6=on;，否则解析 ocsp.int-x3.letsencrypt.org 这类域名会失败
• 别用 127.0.0.1 作为唯一 resolver——本地 DNS 服务一旦宕机或响应慢，stapling 立即不可用，且无 fallback

ssl_trusted_certificate 和 ssl_certificate 容易混淆

这两个参数用途完全不同，混用会导致验证失败或 stapling 关闭：

• ssl_certificate：提供给客户端的证书链，含站点证书 + 中间证书（不含根证书），用于建立信任链
• ssl_trusted_certificate：仅用于 Nginx 内部验证 OCSP 响应签名，必须含根证书 + 所有中间证书（即完整 CA bundle），可用 Let’s Encrypt 的 fullchain.pem 或 DigiCert 的 ca-bundle.crt
• 常见错误：把 ssl_certificate 路径直接复制给 ssl_trusted_certificate，结果因缺根证书导致 ssl_stapling_verify on 校验失败，stapling 自动关闭
• 验证方法：openssl verify -CAfile /path/to/ssl_trusted_certificate.pem ocsp_response.der（需先用 openssl s_client 提取 DER 格式响应）

如何快速验证 OCSP Stapling 是否真正生效

别只看 Nginx 日志或配置语法，真实握手链路才是关键：

• 用 openssl s_client -connect example.com:443 -status -servername example.com 2>&1 | grep -i "ocsp response"，输出含 OCSP Response Status: successful (0x0) 才算成功
• 用 curl -Iv https://example.com 2>&1 | grep -i "ocsp" 看不到任何东西是正常的——OCSP stapling 不在 HTTP 头里，只走 TLS 扩展
• 浏览器开发者工具的 Security 标签页中，“Certificate” → “Details” → 查看是否有 “OCSP stapling: Yes” 字样（Chrome / Edge 支持）
• SSL Labs 测试结果页中，"OCSP Stapling" 项显示 "Yes" 且无 warning，比本地命令更贴近真实终端行为

最常被忽略的是：OCSP 响应本身有有效期（通常 4 天），Nginx 缓存后不会主动刷新，直到过期才重取。如果期间 CA 的 OCSP 服务器不可达，Nginx 会继续发送过期响应，部分严格客户端（如 iOS Safari）会拒绝该 stapling 并回退到传统 OCSP 查询——此时性能和隐私优势就没了。