Windows下Apache 2.4.29客户端认证OCSP响应器配置异常

我之前也碰到过几乎一模一样的场景——自建根CA→中级CA签发客户端证书，OCSP响应器手动查状态是good，但一在Apache里启用OCSP就认证失败，关掉就正常。结合你的情况，大概率是Apache的OCSP配置细节没处理到位，下面给你梳理几个排查方向和解决办法：

1. 盯紧Apache的OCSP Stapling配置细节 #

Apache启用OCSP stapling时，对证书链的要求比手动请求严格得多：

• 务必配置完整的信任链：把根CA和中级CA的证书合并成一个文件，然后在Apache的SSL配置里指定SSLCACertificateFile指向这个合并后的证书链文件。很多人只放根CA，导致Apache无法验证中级CA签发的OCSP响应，直接判定认证失败。
• 确认stapling基础配置已开启：检查你的SSL配置里有没有这两行：

  SSLUseStapling on
  SSLStaplingCache "shmcb:logs/stapling-cache(150000)"
  

  缓存是必须的，不然Apache每次都去请求OCSP响应器，容易超时或者触发限流。
• 调整超时和错误返回策略：如果OCSP响应器在内网延迟稍高，可能导致Apache超时。可以临时加这两行排查：

  SSLStaplingResponderTimeout 5
  SSLStaplingReturnResponderErrors on
  

  开启返回错误后，你能在客户端或Apache日志里看到具体的OCSP失败原因，比如超时、响应无效等。

2. 验证OCSP响应器返回的内容是否符合Apache要求 #

虽然你手动用OpenSSL查状态是good，但Apache对OCSP响应的格式和证书链有额外要求：

• 导出OCSP响应并检查细节：执行下面的命令导出响应，然后查看内容：

  openssl ocsp -issuer intermediate.crt -cert client.crt -url http://你的OCSP地址 -respout ocsp.resp
  openssl ocsp -respin ocsp.resp -text
  

  重点看Responder Certificate是不是中级CA签发的OCSP专用证书，并且这个证书的链能追到根CA。如果响应里的 responder 证书不被Apache信任，直接会拒绝认证。
• 检查响应有效期：如果OCSP响应的有效期设置得太短，Apache缓存的响应过期后，再请求时可能刚好赶上响应器的更新窗口，导致获取到无效响应。

3. 从Apache日志里挖直接线索 #

这是最高效的排查方式——去看Apache的错误日志（比如error.log），里面肯定有OCSP验证失败的具体提示：

• 如果日志里出现OCSP response not trusted，那就是信任链的问题，把OCSP响应器的证书也加到SSLCACertificateFile的链里。
• 如果出现OCSP response expired，要么调整OCSP响应器的有效期，要么调大Apache的stapling缓存时间。
• 另外可以开启SSLOptions +StdEnvVars +ExportCertData，这样日志里会包含更多认证相关的环境变量，方便定位问题。

4. 确认Apache服务器能正常访问OCSP响应器 #

别忽略了网络层面的问题：

• 在Apache所在的服务器上，用curl或者wget直接请求OCSP响应器的URL，看看能不能拿到正常的响应。如果拿不到，大概率是防火墙、代理或者内网路由的问题。
• 如果OCSP响应器用的是HTTPS，要确保Apache信任响应器的证书（如果是自建的），同样把它加到信任链文件里。

最后总结 #

我当时碰到的问题就是只给Apache配了根CA证书，没加中级CA和OCSP响应器的证书，导致Apache无法验证OCSP响应的有效性。你先去看错误日志，找到具体的失败原因，再针对性调整配置，应该很快能解决。

内容的提问来源于stack exchange，提问作者Jeff Baranski