Skip to content

Commit 17185d5

Browse files
y82y82
committed
Documented OCSP stapling for stream.
1 parent 6df5bbd commit 17185d5

File tree

2 files changed

+213
-6
lines changed

2 files changed

+213
-6
lines changed

‎xml/en/docs/stream/ngx_stream_ssl_module.xml‎

Lines changed: 107 additions & 3 deletions
Original file line numberDiff line numberDiff line change
@@ -9,7 +9,7 @@
99
<module name="Module ngx_stream_ssl_module"
1010
link="/en/docs/stream/ngx_stream_ssl_module.html"
1111
lang="en"
12-
rev="34">
12+
rev="35">
1313

1414
<section id="summary">
1515

@@ -241,7 +241,8 @@ The full list can be viewed using the
241241

242242
<para>
243243
Specifies a <value>file</value> with trusted CA certificates in the PEM format
244-
used to <link id="ssl_verify_client">verify</link> client certificates.
244+
used to <link id="ssl_verify_client">verify</link> client certificates and
245+
OCSP responses if <link id="ssl_stapling"/> is enabled.
245246
</para>
246247

247248
<para>
@@ -639,6 +640,108 @@ session parameters.
639640
</directive>
640641

641642

643+
<directive name="ssl_stapling">
644+
<syntax><literal>on</literal> | <literal>off</literal></syntax>
645+
<default>off</default>
646+
<context>stream</context>
647+
<context>server</context>
648+
<appeared-in>1.27.2</appeared-in>
649+
650+
<para>
651+
Enables or disables
652+
<link url="https://datatracker.ietf.org/doc/html/rfc6066#section-8">stapling
653+
of OCSP responses</link> by the server.
654+
Example:
655+
<example>
656+
ssl_stapling on;
657+
resolver 192.0.2.1;
658+
</example>
659+
</para>
660+
661+
<para>
662+
For the OCSP stapling to work, the certificate of the server certificate
663+
issuer should be known.
664+
If the <link id="ssl_certificate"/> file does
665+
not contain intermediate certificates,
666+
the certificate of the server certificate issuer should be
667+
present in the
668+
<link id="ssl_trusted_certificate"/> file.
669+
</para>
670+
671+
<para>
672+
For a resolution of the OCSP responder hostname,
673+
the <link doc="ngx_stream_core_module.xml" id="resolver"/> directive
674+
should also be specified.
675+
</para>
676+
677+
</directive>
678+
679+
680+
<directive name="ssl_stapling_file">
681+
<syntax><value>file</value></syntax>
682+
<default/>
683+
<context>stream</context>
684+
<context>server</context>
685+
<appeared-in>1.27.2</appeared-in>
686+
687+
<para>
688+
When set, the stapled OCSP response will be taken from the
689+
specified <value>file</value> instead of querying
690+
the OCSP responder specified in the server certificate.
691+
</para>
692+
693+
<para>
694+
The file should be in the DER format as produced by the
695+
“<literal>openssl ocsp</literal>” command.
696+
</para>
697+
698+
</directive>
699+
700+
701+
<directive name="ssl_stapling_responder">
702+
<syntax><value>url</value></syntax>
703+
<default/>
704+
<context>stream</context>
705+
<context>server</context>
706+
<appeared-in>1.27.2</appeared-in>
707+
708+
<para>
709+
Overrides the URL of the OCSP responder specified in the
710+
“<link url="https://datatracker.ietf.org/doc/html/rfc5280#section-4.2.2.1">Authority
711+
Information Access</link>” certificate extension.
712+
</para>
713+
714+
<para>
715+
Only “<literal>http://</literal>” OCSP responders are supported:
716+
<example>
717+
ssl_stapling_responder http://ocsp.example.com/;
718+
</example>
719+
</para>
720+
721+
</directive>
722+
723+
724+
<directive name="ssl_stapling_verify">
725+
<syntax><literal>on</literal> | <literal>off</literal></syntax>
726+
<default>off</default>
727+
<context>stream</context>
728+
<context>server</context>
729+
<appeared-in>1.27.2</appeared-in>
730+
731+
<para>
732+
Enables or disables verification of OCSP responses by the server.
733+
</para>
734+
735+
<para>
736+
For verification to work, the certificate of the server certificate
737+
issuer, the root certificate, and all intermediate certificates
738+
should be configured as trusted using the
739+
<link id="ssl_trusted_certificate"/> directive.
740+
</para>
741+
742+
</directive>
743+
744+
642745
<directive name="ssl_trusted_certificate">
643746
<syntax><value>file</value></syntax>
644747
<default/>
@@ -648,7 +751,8 @@ session parameters.
648751

649752
<para>
650753
Specifies a <value>file</value> with trusted CA certificates in the PEM format
651-
used to <link id="ssl_verify_client">verify</link> client certificates.
754+
used to <link id="ssl_verify_client">verify</link> client certificates and
755+
OCSP responses if <link id="ssl_stapling"/> is enabled.
652756
</para>
653757

654758
<para>

‎xml/ru/docs/stream/ngx_stream_ssl_module.xml‎

Lines changed: 106 additions & 3 deletions
Original file line numberDiff line numberDiff line change
@@ -9,7 +9,7 @@
99
<module name="Модуль ngx_stream_ssl_module"
1010
link="/ru/docs/stream/ngx_stream_ssl_module.html"
1111
lang="ru"
12-
rev="34">
12+
rev="35">
1313

1414
<section id="summary">
1515

@@ -244,7 +244,8 @@ ssl_ciphers ALL:!aNULL:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
244244
<para>
245245
Указывает <value>файл</value> с доверенными сертификатами CA в формате
246246
PEM, которые используются для
247-
<link id="ssl_verify_client">проверки</link> клиентских сертификатов.
247+
<link id="ssl_verify_client">проверки</link> клиентских сертификатов и
248+
ответов OCSP, если включён <link id="ssl_stapling"/>.
248249
</para>
249250

250251
<para>
@@ -642,6 +643,107 @@ AES256 (для 80-байтных ключей, 1.11.8), либо AES128 (для
642643
</directive>
643644

644645

646+
<directive name="ssl_stapling">
647+
<syntax><literal>on</literal> | <literal>off</literal></syntax>
648+
<default>off</default>
649+
<context>stream</context>
650+
<context>server</context>
651+
<appeared-in>1.27.2</appeared-in>
652+
653+
<para>
654+
Разрешает или запрещает
655+
<link url="https://datatracker.ietf.org/doc/html/rfc6066#section-8">прикрепление
656+
OCSP-ответов</link> сервером.
657+
Пример:
658+
<example>
659+
ssl_stapling on;
660+
resolver 192.0.2.1;
661+
</example>
662+
</para>
663+
664+
<para>
665+
Для работы OCSP stapling’а должен быть известен сертификат издателя
666+
сертификата сервера.
667+
Если в заданном директивой <link id="ssl_certificate"/>
668+
файле не содержится промежуточных сертификатов,
669+
то сертификат издателя сертификата сервера следует поместить в файл,
670+
заданный директивой <link id="ssl_trusted_certificate"/>.
671+
</para>
672+
673+
<para>
674+
Для преобразования имени хоста OCSP responder’а в адрес необходимо
675+
дополнительно задать директиву
676+
<link doc="ngx_stream_core_module.xml" id="resolver"/>.
677+
</para>
678+
679+
</directive>
680+
681+
682+
<directive name="ssl_stapling_file">
683+
<syntax><value>файл</value></syntax>
684+
<default/>
685+
<context>stream</context>
686+
<context>server</context>
687+
<appeared-in>1.27.2</appeared-in>
688+
689+
<para>
690+
Если задано, то вместо опроса OCSP responder’а,
691+
указанного в сертификате сервера,
692+
ответ берётся из указанного <value>файла</value>.
693+
</para>
694+
695+
<para>
696+
Ответ должен быть в формате DER и может быть сгенерирован командой
697+
“<literal>openssl ocsp</literal>”.
698+
</para>
699+
700+
</directive>
701+
702+
703+
<directive name="ssl_stapling_responder">
704+
<syntax><value>url</value></syntax>
705+
<default/>
706+
<context>stream</context>
707+
<context>server</context>
708+
<appeared-in>1.27.2</appeared-in>
709+
710+
<para>
711+
Переопределяет URL OCSP responder’а, указанный в расширении сертификата
712+
“<link url="https://datatracker.ietf.org/doc/html/rfc5280#section-4.2.2.1">Authority
713+
Information Access</link>”.
714+
</para>
715+
716+
<para>
717+
Поддерживаются только “<literal>http://</literal>” OCSP responder’ы:
718+
<example>
719+
ssl_stapling_responder http://ocsp.example.com/;
720+
</example>
721+
</para>
722+
723+
</directive>
724+
725+
726+
<directive name="ssl_stapling_verify">
727+
<syntax><literal>on</literal> | <literal>off</literal></syntax>
728+
<default>off</default>
729+
<context>stream</context>
730+
<context>server</context>
731+
<appeared-in>1.27.2</appeared-in>
732+
733+
<para>
734+
Разрешает или запрещает проверку сервером ответов OCSP.
735+
</para>
736+
737+
<para>
738+
Для работоспособности проверки сертификат издателя сертификата сервера,
739+
корневой сертификат и все промежуточные сертификаты должны быть указаны
740+
как доверенные с помощью директивы
741+
<link id="ssl_trusted_certificate"/>.
742+
</para>
743+
744+
</directive>
745+
746+
645747
<directive name="ssl_trusted_certificate">
646748
<syntax><value>файл</value></syntax>
647749
<default/>
@@ -652,7 +754,8 @@ AES256 (для 80-байтных ключей, 1.11.8), либо AES128 (для
652754
<para>
653755
Задаёт <value>файл</value> с доверенными сертификатами CA в формате PEM,
654756
которые используются для <link id="ssl_verify_client">проверки</link>
655-
клиентских сертификатов.
757+
клиентских сертификатов и ответов OCSP,
758+
если включён <link id="ssl_stapling"/>.
656759
</para>
657760

658761
<para>

0 commit comments

Comments
 (0)