| nginx 指令 | ssl_stapling on; ssl_stapling_verify on; |
|---|---|
| 信任链 | ssl_trusted_certificate 指向中间与根证书（不含服务器证书） |
| DNS | 必须配置 resolver 用于解析 OCSP 响应者地址 |
| 观察结果 | openssl s_client -status 查看 OCSP Response Status 与 Next Update |
nginx 配置与验证
nginx 配置与验证
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/ssl/chain.pem;
resolver 223.5.5.5 1.1.1.1 valid=300s;
resolver_timeout 5s;查看装订响应
查看装订响应
openssl s_client -connect example.com:443 -servername example.com -status </dev/null 2>&1 | grep -A6 'OCSP Response'stapling 依赖对 OCSP 响应者的出网访问；内网隔离环境的常见现象是配置成功但响应长期为空，需要放行出口或改用内部 OCSP。