這幾天網(wǎng)站訪問(wèn)出現(xiàn)第一次打開(kāi)網(wǎng)站特別慢，打開(kāi)以后頁(yè)面打開(kāi)速度正常的問(wèn)題，經(jīng)過(guò)研究發(fā)現(xiàn)是HTTPS證書(shū)驗(yàn)證超時(shí)的問(wèn)題，證書(shū)商的驗(yàn)證URL無(wú)法訪問(wèn)不知道是線路問(wèn)題還是被墻了。
請(qǐng)教了幾位大神如何解決HTTPS證書(shū)驗(yàn)證超時(shí)的問(wèn)題.給出的解決方案是要么換證書(shū)商，要么開(kāi)啟OCSP。
我這種窮人哪用得起大廠的HTTPS證書(shū)呀，只能采用第二種方案，開(kāi)始OCSP。
如果網(wǎng)站部署了免費(fèi)的Let's Encrypt證書(shū)時(shí)，第一次https打開(kāi)此網(wǎng)站時(shí)會(huì)顯得很慢，往往需要等待四五秒才能正常打開(kāi)，這是由于特殊原因，ocsp.int-x3.letsencrypt.org服務(wù)器IP無(wú)法正常被解析。
為了提升網(wǎng)站訪問(wèn)體驗(yàn)，可以開(kāi)啟OCSP Stapling，解決第一次訪問(wèn)網(wǎng)站時(shí)很慢的問(wèn)題。
本文環(huán)境：
寶塔面板
CentOS 7 / Windows 2012 R2
Apache / Nginx
一、針對(duì)海外服務(wù)器開(kāi)啟OCSP Stapling
1、配置系統(tǒng)的Apache或Nginx信息
Apache開(kāi)啟OCSP：
①找到Apache安裝目錄，編輯目錄下的httpd-ssl.conf文件，CentOS系統(tǒng)中的目錄為：/www/server/apache/conf/extra/httpd-ssl.conf，Windows系統(tǒng)中的目錄為：C:/BtSoft/apache/conf/extra/httpd-ssl.conf，去掉文件中以下兩行的注釋?zhuān)?/p>
SSLUseStapling On
#CentOS：
SSLStaplingCache "shmcb:/www/server/apache/logs/ssl_stapling(32768)"
#Windows：
SSLStaplingCache "shmcb:C:/BtSoft/apache/logs/ssl_stapling(32768)"
如果文件中沒(méi)有以上這兩行，則手動(dòng)添加進(jìn)去。
②編輯httpd.conf文件，CentOS系統(tǒng)中的目錄為：/www/server/apache/conf/httpd.conf，Windows系統(tǒng)中的目錄為：C:/BtSoft/apache/conf/httpd.conf，去掉文件中以下這行的注釋?zhuān)?/p>
LoadModule socache_shmcb_module modules/mod_socache_shmcb.so
如果文件中沒(méi)有以上這行，則手動(dòng)添加進(jìn)去。
③配置網(wǎng)站的Apache信息，在網(wǎng)站的配置文件中，添加如下信息：
SSLUseStapling On
#CentOS：
SSLStaplingCache "shmcb:/www/server/apache/logs/ssl_stapling(128000)"
#Windows：
SSLStaplingCache "shmcb:C:/BtSoft/apache/logs/ssl_stapling(128000)"
以上信息可以添加在這一行<VirtualHost *:443>的上面。
至此，Apache已經(jīng)開(kāi)啟了OCSP Stapling，重啟Apache即可。
Nginx開(kāi)啟OCSP：
直接在網(wǎng)站的Nginx配置文件中，添加如下信息：
server {
listen 443;
………
ssl_stapling on; #開(kāi)啟stapling
ssl_stapling_verify on; #開(kāi)啟stapling驗(yàn)證
……
}
保存，重啟Nginx即可。
二、針對(duì)內(nèi)陸服務(wù)器開(kāi)啟OCSP Stapling
步驟和第一段的一樣，開(kāi)啟OCSP Stapling后，還需要編輯hosts文件，指定一下ocsp.int-x3.letsencrypt.org服務(wù)器IP地址。
ocsp.int-x3.letsencrypt.org服務(wù)器IP地址有如下這些：
23.44.51.8 （美國(guó)）
23.44.51.27 （美國(guó)）
104.109.129.57 （英國(guó)）
104.109.129.11 （英國(guó)）
175.45.42.209 （香港）
175.45.42.218 （香港）
223.119.50.201 （香港）
223.119.50.203 （香港）
23.32.3.72 （東京）
編輯hosts文件，Windows中的路徑為：C:\windows\system32\drivers\etc\hosts，Linux中的路徑為：/etc/hosts，添加以下信息：
175.45.42.218 ocsp.int-x3.letsencrypt.org
重啟一下Apache或Nginx即可。
三、驗(yàn)證OCSP Stapling是否開(kāi)啟成功
1、在SSH中使用以下命令：
openssl s_client -connect www.你的網(wǎng)址.com:443 -servername www.你的網(wǎng)址.com -status -tlsextdebug < /dev/null 2>&1 | grep -i "OCSP response"
若站點(diǎn)返回 OCSP response: no response sent，代表開(kāi)啟失敗。
若站點(diǎn)已成功啟用 OCSP Stapling，會(huì)返回提示中有：successful。
2、打開(kāi)以下網(wǎng)址，輸入你的網(wǎng)站即可檢測(cè)：
https://www.getssl.cn/ocsp
如果你的網(wǎng)站出現(xiàn)第一次打開(kāi)網(wǎng)站時(shí)會(huì)顯得很慢，也是https的話不妨看看證書(shū)是否有問(wèn)題
請(qǐng)關(guān)注腳本之家，了解更多關(guān)于網(wǎng)站打開(kāi)速度慢的問(wèn)題
