☰

Как ускорить установление SSL-соединения?

tag-icon • tag-icon linux apache-http-server ssl openssl
Как ускорить установление SSL-соединения?

На моем компьютере с Linux настроен OpenSSL с использованием Apache2.

НЕТ, я не включил разрешение DNS. У меня есть сертификат на машине, ЛОКАЛЬНО.

Тем не менее, Chrome devtools говорит мне, что Initial Connection took 1.64 s. Это слишком долгое ожидание для меня, когда дело доходит до обновления страницы по истечении определенного времени.

Как это ускорить или так и должно быть?

P.S.:Я использую бесплатный SSL от StartCom.

решение1

Есть несколько областей для улучшения SSL-соединения (и общей задержки SSL-трафика). Некоторые из них могут повлиять на безопасность в той или иной степени.

(Это для ssl.conf с использованием Apache)

Отключить поиск домена и разрешить Non-SNI достигать основного домена

  • SSLStrictSNIVHostОтметить выключенным

Вместо именованных хостов используйте IP-адрес для записи :443 VHOST

Кэшировать сеансы SSL

  • SSLSessionCache shmcb:/run/httpd/sslcache(512000)
  • SSLSessionCacheTimeout 300

Разрешить дляболее быстрый порядок протокола SSL, общая совместимость, средняя безопасность:

  • SSLПротокол все -SSLv3
  • SSLCipherSuite ВСЕ:+HIGH:+TLSv1:!ADH:!EXP:!SSLv2:!MEDIUM:!LOW:!NULL:!aNULL
  • SSLHonorCipherOrder на

Сшивание OCSP (ускоряет SSL)

  • SSLИспользованиеСшивание на
  • SSLStaplingResponderTimeout 5
  • SSLStaplingReturnResponderErrors выключен
  • SSLStaplingCache shmcb:/run/ocsp(128000)

HSTS (может выполнять предварительную загрузку, чтобы запросы http:// становились запросами https:// в браузере)

  • Заголовок всегда установлен Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"

Подать заявку на предварительную загрузку можно здесь:https://hstspreload.appspot.com/

Рассмотрим следующие более продвинутые реализации:

  • HTTP/2 с HPACK
  • Сжатие Бротли

Другие проблемы, не связанные с SSL, которые могут помочь ускорить соединение

Еще одна директива для Apache в httpd.conf

  • HostnameLookups выключен

решение2

Не используйте StartCom.

Вместо этого используйте Let's Encrypt с --apacheопцией автонастройки.

Он запросит у вас все необходимые данные в удобном для пользователя формате, и вы сможете полностью настроить конфигурацию Apache после настройки SSL Let's Encrypt.

Итак, проблема решается удалением StartCom SSL и автоматической настройкой Apache с Let's Encrypt.

Я не знаю, в чем изначальная проблема, но Let's Encrypt, похоже, оптимизирован лучше.

Связанный контент