管理监听器SSL

描述

每个SSL侦听器都需要成对的SSL私钥和SSL证书。 多个SSL侦听器可以共享相同的密钥和证书。
您可以使用SSL软件包自行生成SSL私钥， 例如OpenSSL。SSL证书也可以从授权证书颁发机构（如VeriSign或Thawte）购买。您也可以自己签署证书。 自签名证书将不受Web浏览器信任，并且不应在公共网站上使用。但是，自签名证书足以供内部使用，例如用于加密到LiteSpeed Web服务器WebAdmin控制台的流量。

描述

SSL私钥文件的文件名。密钥文件不应加密。

语法

文件路径

提示

安全 私钥文件应放在安全目录中，并且只允许服务器运行用户读取。

描述

SSL证书文件的文件名。

语法

文件路径

提示

安全 证书文件应放在安全目录中，并且只允许服务器运行用户读取。

描述

指定证书是否为链式证书。存储证书链的文件必须为PEM格式， 并且证书必须按链式顺序排列，从最低级别（实际的客户端或服务器证书）到最高级别（根CA）。

语法

布尔值

描述

指定保存证书颁发机构（CA）证书的目录。这些证书用于客户端证书身份验证，并用于构建服务器证书链。服务器证书链会随服务器证书一起发送给浏览器。

语法

路径

描述

指定包含链式证书所需证书颁发机构（CA）证书的文件。 此文件只是按优先顺序串联的PEM编码证书文件。它可以替代CA证书路径使用，也可以与其配合使用。这些证书用于客户端证书身份验证，并用于构建服务器证书链。服务器证书链会随服务器证书一起发送给浏览器。

语法

文件路径

描述

控制此监听器的TLS协议版本、加密套件策略和密钥交换设置。 协议版本选项决定监听器接受哪些TLS版本。

描述

选择监听器接受的TLS协议版本。

建议使用TLS v1.3，通常也会启用TLS v1.2以兼容客户端。 TLS v1.0和TLS v1.1是已弃用的旧协议，仅应在旧客户端 确实需要时启用。

语法

从复选框中选择

提示

安全 除非存在明确记录的兼容性要求，否则请保持TLS v1.0和 TLS v1.1处于禁用状态。PCI DSS将早期TLS视为不安全协议；任何必要的 使用都必须按照适用的合规流程进行记录和批准。

描述

指定协商TLS v1.2及更早版本连接时使用的有序加密套件规则 列表。 此设置不会配置TLS v1.3加密套件；这些套件由BoringSSL在内部选择， 无法在此更改。

语法

单个以冒号分隔的加密套件规则字符串。在规则前添加!可永久 排除匹配的加密套件。

示例

提示

安全 将此字段留空可使用服务器维护的 默认加密套件。仅在有明确记录的兼容性或合规性 要求时进行自定义，并在更改后测试所需的客户端类型。

描述

允许使用椭圆曲线Diffie-Hellman密钥交换进行进一步的SSL加密。

语法

布尔值

提示

安全 ECDH密钥交换比仅使用RSA密钥更安全。 ECDH和DH密钥交换安全性相同。

性能 启用ECDH密钥交换会增加CPU负载，并且比仅使用RSA密钥要慢。

描述

允许使用Diffie-Hellman密钥交换进行进一步的SSL加密。

语法

布尔值

提示

安全 DH密钥交换比仅使用RSA密钥更安全。 ECDH和DH密钥安全性相同。

性能 启用DH密钥交换会增加CPU负载，并且比ECDH密钥交换和RSA都慢。如果可用，建议优先使用ECDH密钥交换。

描述

指定DH密钥交换所需的Diffie-Hellman参数文件的位置。

语法

文件路径

描述

指定是否启用SSL密钥重新协商保护，以 防御基于SSL握手的攻击。默认值为是。

语法

布尔值

提示

信息 可以在侦听器和虚拟主机级别启用此设置。

描述

使用OpenSSL的默认设置启用会话ID缓存。 服务器级别设置必须设置为“是”才能使虚拟主机设置生效。
默认值:
服务器级别: Yes
虚拟主机级别: Yes

语法

布尔值

描述

使用OpenSSL的默认会话票证设置启用会话记录单。 服务器级别设置必须设置为“是”才能使虚拟主机设置生效。
默认值:
服务器级别: Yes
虚拟主机级别: Yes

语法

布尔值

描述

应用层协议协商（ALPN）用于有选择地启用HTTP/3和HTTP/2网络协议。

如果要禁用HTTP/2和HTTP3，请勾选无，并取消勾选所有其他选项。

默认值：全部启用

语法

从复选框选择

提示

信息 可在侦听器和虚拟主机级别设置。

描述

允许映射到此侦听器的虚拟主机使用HTTP/3/QUIC网络协议。 要使此设置生效，服务器级别的启用HTTP3/QUIC也必须设置为是。 默认值为是。

提示

信息 当此设置为是时，仍可以通过虚拟主机级别的启用HTTP3/QUIC设置禁用HTTP/3/QUIC。

描述

指定客户端证书身份验证的类型。 可用类型包括：

• None: 不需要客户端证书。
• Optional: 客户端证书可选。
• Require: 客户端必须提供有效证书。
• Optional_no_ca: 与Optional相同。

语法

从下拉列表选择

提示

信息 建议使用无或Require。

描述

指定在判定客户端没有有效证书之前，应验证证书链的深度。 默认值为1。

语法

从下拉列表选择

描述

指定包含已吊销客户端证书的PEM编码CA CRL文件的目录。 此目录中的文件必须为PEM编码。 这些文件通过哈希文件名（hash-value.rN）访问。 有关如何创建哈希文件名，请参考OpenSSL或Apache mod_ssl文档。

语法

路径

描述

指定包含PEM编码CA CRL文件的文件，这些文件列出已吊销的客户端证书。 它可以替代客户端吊销路径使用，也可以与其配合使用。

语法

文件路径