如何实现OpenSSL OCSP服务器自动重启或自动识别index.txt更新

核心原因 #

OpenSSL的ocsp命令行服务器启动时会将index.txt的内容一次性加载到内存，之后不会主动监听文件变更，因此修改文件后必须重启服务器才能生效。

解决方案 #

1. 使用-refresh参数（OpenSSL 1.1.0及以上版本支持） #

从OpenSSL 1.1.0版本开始，ocsp工具新增了-refresh <seconds>参数，可指定服务器每隔设定秒数重新读取一次index.txt文件。

修改你的启动命令，添加该参数即可，例如设置每30秒刷新一次：

openssl ocsp -port 2560 -text -index 'intermediate/index.txt' -CA 'intermediate/certs/ca-chain.cert.pem' -rkey 'ocsp/private/ocsp.key.pem' -rsigner 'ocsp/certs/ocsp.cert.pem' -nmin 1 -refresh 30

注意：时间间隔不要设置过小，避免频繁读取文件带来性能开销；同时要确保OCSP服务器进程对index.txt所在目录拥有读取权限。

2. 低版本OpenSSL的替代方案（1.1.0以下） #

若你的OpenSSL版本低于1.1.0，无-refresh参数，可采用以下两种方式处理：

• 用监控工具自动重启服务器：借助inotifywait（Linux系统）监听index.txt的变更事件，文件修改后自动重启OCSP服务器。示例脚本：

  #!/bin/bash
  INDEX_FILE="intermediate/index.txt"
  OCSP_CMD="openssl ocsp -port 2560 -text -index '$INDEX_FILE' -CA 'intermediate/certs/ca-chain.cert.pem' -rkey 'ocsp/private/ocsp.key.pem' -rsigner 'ocsp/certs/ocsp.cert.pem' -nmin 1"
  
  # 启动OCSP服务器
  $OCSP_CMD &
  OCSP_PID=$!
  
  # 监听文件变更
  while inotifywait -e modify,delete,create "$INDEX_FILE"; do
      # 停止旧进程
      kill $OCSP_PID
      # 重启服务器
      $OCSP_CMD &
      OCSP_PID=$!
  done
  

• 定期重启服务器：通过cron（Linux）或系统任务计划（Windows）定期重启OCSP服务器，比如每5分钟重启一次，适合变更频率较低的场景。

注意事项 #

• 修改index.txt时需保证格式正确，否则OCSP服务器重启/刷新后可能无法正常解析文件。
• 使用-refresh参数前，可通过openssl version命令确认OpenSSL版本是否符合要求。

内容的提问来源于stack exchange，提问作者Lahiru Jayasundara