1. OCSP Stapling：减少证书验证延迟
-
原理：
传统TLS握手时，客户端需向证书颁发机构（CA）的OCSP服务器查询证书状态（是否被吊销），导致额外延迟。OCSP Stapling允许服务器预先获取OCSP响应，并在握手时直接发送给客户端，避免客户端单独查询。 -
效果：
- 减少1个RTT（往返时间）的延迟。
- 避免因CA服务器响应慢或不可达导致的握手失败。
- 提升隐私性（客户端无需暴露访问的域名给CA）。
-
实现方式：
-
Nginx配置：
nginx ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 8.8.4.4 valid=300s; # 指定DNS解析器 -
Apache配置：
apache SSLUseStapling on SSLStaplingCache "shmcb:logs/ssl_stapling(32768)"
-
-
注意事项：
- 服务器需能访问CA的OCSP服务。
- 证书需支持OCSP（多数现代证书默认支持）。
证书获取方法：打开JoySsl 官网 填写注册码230952 即可获取一对一证书指导服务
2. Session Resumption：复用会话，减少握手开销
-
原理：
TLS握手（尤其是完整握手）涉及密钥交换、证书验证等高开销操作。Session Resumption允许客户端和服务器复用之前的会话参数（如预共享密钥），跳过部分握手步骤。 -
两种实现方式：
-
Session ID（TLS 1.2及以下） ：
服务器在首次握手时分配Session ID，客户端在后续请求中携带该ID，服务器从缓存中恢复会话。- 缺点：会话状态存储在服务器内存，分布式系统需共享缓存（如Redis）。
-
Session Ticket（TLS 1.2+） ：
服务器加密会话状态为Ticket，发送给客户端。客户端在后续请求中携带Ticket，服务器解密后恢复会话。- 优点：无状态，适合分布式系统。
- 缺点：需定期轮换加密密钥以保障安全性。
-
-
效果：
- 将完整握手（2-RTT）优化为会话恢复握手（1-RTT），甚至TLS 1.3的0-RTT（提前发送数据）。
- 减少CPU和带宽消耗。
-
实现方式：
-
Nginx配置：
nginx ssl_session_cache shared:SSL:10m; # 10MB缓存约40000个会话 ssl_session_timeout 1h; ssl_session_tickets on; # 启用Session Ticket -
Apache配置：
apache SSLSessionCache "shmcb:/path/to/ssl_scache(512000)" SSLSessionCacheTimeout 300
-
3. 协同优化：OCSP Stapling + Session Resumption
-
综合效果：
- OCSP Stapling减少证书验证延迟。
- Session Resumption减少握手开销。
- 两者结合可显著提升TLS握手速度（尤其在高并发场景）。
-
测试工具：
- 使用SSL Labs测试OCSP Stapling和Session Resumption是否生效。
- 使用
openssl s_client -connect example.com:443 -tls1_2 -status验证OCSP Stapling响应。
4. 注意事项
-
TLS 1.3的优化：
TLS 1.3默认启用0-RTT会话恢复，并简化了握手流程。建议优先部署TLS 1.3（需服务器和客户端支持）。 -
安全性与性能的平衡：
- Session Ticket需定期轮换密钥（如每日）。
- 禁用不安全的加密套件（如RC4、3DES）。
-
CDN集成：
若使用CDN（如Cloudflare、Akamai），需确保其支持OCSP Stapling和Session Resumption。
总结
通过启用OCSP Stapling和Session Resumption，可显著减少TLS握手延迟，提升网站速度（尤其在移动网络或高延迟场景）。建议结合TLS 1.3、HTTP/2/3等现代协议进一步优化性能。最终效果需通过实际测试验证（如WebPageTest、Lighthouse）。
