Nginx「ssl_stapling」被忽略，憑證中沒有 OCSP 回應程式 URL

Question

我正在嘗試在 Nginx 上設定 OCSP 裝訂，因為我進行了測試，它提出了這個想法，嗯，你知道。

https://sslcheck.globalsign.com/en_GB/sslcheck?host=aj2jewellers.co.uk#176.58.103.165

我收到錯誤：

nginx: [warn] "ssl_stapling" ignored, no OCSP responder URL in the certificate

這是我的 .conf 的相關部分

server {
# use Google's DNS
resolver 8.8.4.4 8.8.8.8 valid=300s;
resolver_timeout 10s;

ssl_stapling on;
ssl_stapling_verify on;
## verify chain of trust of OCSP response using Root CA and Intermediate certs
ssl_trusted_certificate /pathtossl/www.aj2jewellers.co.uk.crt;
}

Answer 1

ssl_trusted_certificate 選項應指向 CA 的根證書和所有中間證書，而不是您的簽名證書。 NGINX 文件中對此進行了明確說明http://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_stapling_verify。有關其他設定範例，請參閱https://blog.kempkens.io/posts/ocsp-stapling-with-nginx/