如何加快SSL连接建立？

Question

我在使用 Apache2 的 Linux PC 上安装了 OpenSSL。

不，我没有启用 DNS 解析。我在机器上有本地证书。

尽管如此，Chrome devtools 告诉我Initial Connection took 1.64?s. 在经过特定时间后刷新页面时，等待我的时间很长。

如何加快速度或者是它应该的方式？

PS：我使用的是 StartCom 的免费 ssl。

Answer 1

有几个方面可以改善 SSL 连接（以及一般 SSL 流量延迟）。其中一些可能会以某种或大或小的方式影响安全性。

（这些用于使用 Apache 的 ssl.conf）

禁用域查找，并允许非 SNI 访问主域

• SSLStrictSNIVHostCheck off

为 :443 VHOST 条目使用 IP 地址而不是命名主机

缓存 SSL 会话

• SSLSessionCache shmcb:/run/httpd/sslcache(512000)
• SSLSessionCacheTimeout 300

允许更快的 SSL 协议顺序，通用兼容性，中等安全性：

• SSLProtocol all -SSLv3
• SSLCipherSuite ALL:+HIGH:+TLSv1:!ADH:!EXP:!SSLv2:!MEDIUM:!LOW:!NULL:!aNULL
• SSL荣誉密码订购

OCSP 装订（加速 SSL）

• SSLUseStapling on
• SSLStaplingResponderTimeout 5
• SSLStaplingReturnResponderErrors 关闭
• SSLStaplingCache shmcb:/run/ocsp(128000)

HSTS（可以进行预加载，使浏览器中的 http:// 请求变为 https:// 请求

• 标头始终设置 Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"

在此处提交预加载：https : //hstspreload.appspot.com/

考虑以下更高级的实现：

• 带有 HPACK 的 HTTP/2
• Brotli 压缩

可能有助于加快连接速度的其他非 SSL 问题

httpd.conf 中 Apache 的另一个指令

• 主机名查找关闭