如何在NGINX/Apache反向代理中对上游服务器证书启用OCSP验证

嘿，刚好碰到过类似的需求，给你梳理下NGINX、Apache的配置方法，还有备选方案：

NGINX 配置方法 #

NGINX其实支持对上游服务器证书做OCSP验证，核心是启用证书验证的同时开启OCSP stapling，并配置缓存避免重复请求。下面是完整的配置示例：

server {
    listen 80;
    server_name your-app.local; # 替换成你的应用访问域名

    location / {
        proxy_pass https://upstream-server.com; # 替换成实际上游服务器地址
        proxy_set_header Host $host;

        # 基础证书验证配置
        proxy_ssl_verify on; # 开启上游证书验证
        proxy_ssl_trusted_certificate /path/to/trusted-ca-chain.pem; # 存放信任的CA证书链（根CA+中间CA）
        proxy_ssl_verify_depth 2; # 验证证书链的深度
        proxy_ssl_name upstream-server.com; # 指定上游服务器的SNI名称，要和证书匹配

        # OCSP验证相关配置
        proxy_ssl_ocsp_stapling on; # 启用OCSP stapling验证上游证书
        proxy_ssl_ocsp_cache shared:OCSP:1m; # 缓存OCSP响应，1分钟有效期，可根据需求调整
    }
}

需要注意的是：

• 确保trusted-ca-chain.pem包含上游服务器证书的完整信任链，否则验证会失败
• OCSP服务器需要能被NGINX访问到，如果网络有隔离，要确保NGINX能出站访问OCSP地址
• 缓存时间可以根据OCSP响应的实际有效期调整，避免频繁请求OCSP服务器

Apache 配置方法 #

Apache通过SSLProxy系列指令实现上游证书的OCSP验证，关键是设置SSLProxyCARevocationCheck为OCSP，同时配置信任的CA证书链。示例配置如下：

<VirtualHost *:80>
    ServerName your-app.local # 替换成你的应用访问域名

    # 反向代理基本配置
    ProxyPass / https://upstream-server.com/ # 替换成实际上游服务器地址
    ProxyPassReverse / https://upstream-server.com/

    # 启用上游SSL处理
    SSLProxyEngine on

    # 基础证书验证
    SSLProxyVerify require # 强制验证上游证书
    SSLProxyVerifyDepth 2 # 证书链验证深度
    SSLProxyCACertificateFile /path/to/trusted-ca-chain.pem # 信任的CA证书链文件

    # OCSP验证配置
    SSLProxyCARevocationCheck OCSP # 启用OCSP方式验证证书吊销状态
    SSLProxyOCSPStapling on # 验证上游服务器提供的OCSP stapling响应
    # 如果上游证书没有内置OCSP响应器地址，可以手动指定：
    # SSLProxyOCSPResponder http://ocsp.upstream-ca-domain.com
</VirtualHost>

配置后记得重启Apache生效，同样要确保CA证书链完整，且Apache能访问OCSP服务器。

备选方案（如果NGINX/Apache不满足需求） #

如果上述两种代理的配置无法满足你的要求，推荐试试HAProxy，它对OCSP验证的支持更灵活，配置也相对简洁：

frontend app_frontend
    bind *:80 # 监听应用请求的端口
    default_backend upstream_server

backend upstream_server
    server upstream upstream-server.com:443 ssl verify required ca-file /path/to/trusted-ca-chain.pem
    # 启用OCSP验证并指定响应缓存文件
    ssl ocsp-response-file /var/lib/haproxy/ocsp-upstream.der
    # 自动更新OCSP响应的周期（秒）
    ssl ocsp-update-period 3600

HAProxy会自动从OCSP服务器获取并更新响应，你只需要确保缓存文件的目录有读写权限即可。

备注：内容来源于stack exchange，提问作者Rosso