Apache无独立SSL握手超时配置，其耗时由Timeout（主控，含完整TLS协商）和RequestReadTimeout header阶段（覆盖握手+请求头，需mod_reqtimeout）共同约束，CRL/OCSP等外部依赖亦显著影响实际耗时。
Apache 本身没有直接叫 SSL 握手超时 的独立配置项。SSL/TLS 握手过程的耗时，实际受多个已有超时指令共同约束，其中最关键的是 Timeout 和 RequestReadTimeout，尤其在启用 SSL 的虚拟主机中，握手阶段就计入这些时限。
Timeout 指令控制整体握手窗口
这是最核心的设置。它定义服务器从接受连接开始，到完成请求头接收（含 SSL 握手、证书验证、密钥交换等全部 TLS 协商）的总等待时间。
- SSL 握手发生在 HTTP 请求头到达之前，因此整个握手过程必须在这个
Timeout值内完成 - 默认值通常是 60 秒，对大多数场景足够；若客户端网络差、证书链长、或启用了 CRL/OCSP 检查，可能触发超时
- 建议根据实际环境微调，例如设为
Timeout 90，避免因 OCSP 响应延迟导致握手失败 - 必须放在主配置顶层（如
httpd.conf），不能写在<VirtualHost>内
RequestReadTimeout 针对 SSL 头部读取更精细控制
该指令可分段限制握手后请求头的接收，但它的 header 阶段同样覆盖初始 SSL 握手时间，尤其适合需要区分“握手慢”和“请求慢”的场景。
- 示例：
RequestReadTimeout header=30-45,MinRate=500表示：握手+请求头读取总时长上限 45 秒，且前 30 秒内至少要以 500B/s 速率接收数据 - 若握手卡在证书验证环节（如 CRL 服务器不可达），这个设置能更快中断并返回 408 错误
- 仅在
mod_reqtimeout已启用时生效，需确认：httpd -M | grep reqtimeout
其他相关因素不能忽略
真正影响 SSL 握手耗时的，不只是 Apache 配置，还有底层行为和外部依赖：
-
CRL/OCSP 检查：若启用
SSLUseStapling on但未正确配置 OCSP Stapling，或使用SSLCARevocationCheck chain且 CRL 服务器响应慢，会显著拖长握手——建议优先启用 OCSP Stapling 并禁用实时 CRL 查询 - 证书链长度与签名算法：避免使用过长链或已淘汰算法（如 SHA-1），选用 ECDSA 或 RSA-PSS 可缩短协商时间
-
客户端兼容性：老客户端（如 IE8/XP）可能触发降级重试，表现为多次握手失败日志，此时需检查
SSLCipherSuite是否过度宽松
验证是否生效
改完配置后务必验证：
- 运行
httpd -t确保语法正确 - 重启服务：
systemctl restart apache2（Debian/Ubuntu）或systemctl restart httpd（RHEL/CentOS） - 用 OpenSSL 模拟慢握手测试：
openssl s_client -connect yoursite.com:443 -debug -msg，观察是否在设定时间内完成或断开 - 查看错误日志：
tail -f /var/log/apache2/error.log，留意是否有SSL handshake timed out或request failed: error reading the headers类报错
