如何提升Apache环境下的SSL证书加载速度

SSL证书加载速度并非瓶颈，真正影响性能的是TLS握手速度；优化需启用TLS 1.3、会话复用（缓存+票证）、OCSP Stapling、高效密码套件，并辅以HTTP/2、KeepAlive及精简证书链。

Apache 环境下 SSL 证书加载速度本身不是“加载”过程的瓶颈，真正影响的是SSL/TLS 握手建立连接的速度——即客户端发起 HTTPS 请求后，到加密通道可用所耗时间。所谓“证书加载”，实际指 Apache 在 TLS 握手阶段解析、验证、传输证书链并完成密钥协商的全过程。优化重点在于减少握手轮次、复用已有状态、降低计算开销。

以下是从配置实操角度出发的几类关键优化方向：

启用 TLS 1.3 并精简协议支持

TLS 1.3 将完整握手压缩至 1-RTT（甚至 0-RTT），显著快于 TLS 1.2 的 2-RTT。必须确保：

• Apache ≥ 2.4.37
• OpenSSL ≥ 1.1.1（推荐 3.x）
• 配置中明确启用且禁用老旧协议：

  SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2 +TLSv1.3

配置高效会话复用机制

避免每次请求都做完整握手，核心靠两种方式协同：

• 会话缓存（Session Cache）：使用共享内存缓存会话票据（如 shmcb），服务端主动复用：

  SSLSessionCache "shmcb:/var/run/apache2/ssl_scache(512000)"SSLSessionCacheTimeout 300

• 会话票证（Session Tickets）：由客户端保存加密票据，下次直接提交，服务端无需查缓存：

  SSLSessionTickets on

注意：两者可共存，但 Session Tickets 对客户端兼容性要求略高（现代浏览器均支持）；若担心旧客户端，优先保障 Session Cache。

启用 OCSP Stapling 加速证书验证

传统方式下，客户端需额外向 CA 发起 OCSP 查询验证证书是否吊销，增加延迟。Stapling 让 Apache 主动获取并缓存响应，随证书一并发给客户端：

SSLUseStapling onSSLStaplingCache "shmcb:/var/run/apache2/ocsp-stapling-cache(128000)"

需确保证书由支持 OCSP 的 CA 签发（Let’s Encrypt、Sectigo、DigiCert 等主流机构均支持）。

优化密码套件与密钥交换算法

减少加解密耗时，优先选择硬件友好、低延迟的组合：

• 密钥交换：ECDHE（支持前向保密，且比 RSA 密钥交换更快）
• 加密算法：AES-GCM（多数 CPU 支持 AES-NI 指令集加速）
• 禁用：RC4、3DES、MD5、SHA-1、NULL 套件

示例配置：

SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384SSLHonorCipherOrder on

补充性能增强项

• 启用 HTTP/2：复用单个 TLS 连接处理多请求，减少连接建立频率：

  Protocols h2 http/1.1

• 开启 KeepAlive：避免频繁 TCP+TLS 双重建连：

  KeepAlive OnMaxKeepAliveRequests 100KeepAliveTimeout 5

• 精简证书链：只发送服务器证书 + 必要中间证书（不发根证书），减小握手包体积；可用 SSL Labs 测试工具 验证链完整性。

不复杂但容易忽略