验证 Nginx OCSP Stapling 高并发稳定性需三步：一用 wrk 压测并每5秒抽样检查 openssl s_client 输出是否持续显示 successful；二监控 error.log 中 resolver timeout、verify failed 等关键错误；三用 Wireshark 抓包确认 ServerHello 是否稳定携带有效 OCSPResponse。
测试 Nginx OCSP Stapling 在极限高并发下的响应性能，不能只看配置是否“开着”，关键要验证它在真实压力下是否持续装订、不降级、不卡顿。高并发毛刺往往不是功能关闭，而是静默失效——客户端突然回退查 OCSP，导致 TLS 握手多出 200–400ms 延迟。以下方法聚焦可复现、可观测、可定位的实测手段。
用 ab 或 wrk 模拟并发连接 + OpenSSL 验证装订稳定性
单纯压测 QPS 或 TTFB 容易被后端服务干扰。更有效的方式是：固定连接数、短时高压，并同步抽样检查 OCSP 装订状态。
- 启动 1000 并发、持续 30 秒的 HTTPS 连接压测：
wrk -c 1000 -d 30s --latency https://example.com - 压测过程中，每 5 秒执行一次抽样检测：
for i in {1..6}; do openssl s_client -connect example.com:443 -servername example.com -status -tlsextdebug 2>/dev/null | grep "OCSP Response Status" | head -1; sleep 5; done - 观察输出是否始终为 successful (0x0)；若中途出现 no response sent 或完全无 OCSP 字段，说明 stapling 在压力下已中断
监控 Nginx 日志中的 stapling 关键错误信号
Nginx 不报错，但会在 error log 中留下隐性线索。开启 debug 日志级别（或至少 warn 级别）后，重点搜索以下关键词：
- no resolver defined：DNS 解析器未配置，stapling 自动禁用
- resolver timeout 或 resolve failed：DNS 查询超时（尤其发生在 resolver_timeout 不足时）
- verify failed、bad signature、nextUpdate expired：ssl_stapling_verify 校验失败，整块缓存被丢弃
- stapling ignored 或 stapling disabled：Nginx 主动降级，通常伴随前述任一错误
建议在压测前加日志过滤：tail -f /var/log/nginx/error.log | grep -i -E "(stapling|ocsp|resolver|verify)"
抓包确认 ServerHello 是否稳定携带 OCSPResponse
Wireshark 是唯一能 100% 确认“客户端到底有没有收到 stapled 数据”的方式。在压测机或 Nginx 本机抓包，设置过滤表达式：tls.handshake.type == 1 || tls.handshake.type == 2 || tls.handshake.extension.type == 5
- 展开每个 ServerHello → Extensions → status_request → CertificateStatus → response
应能看到完整的 OCSPResponse 结构体（长度通常 800–2000 字节） - 对比压测前后：若低并发时有 OCSPResponse，而 1000 并发时大量 ServerHello 缺失该扩展，说明 stapling cache 或 resolver 已成为瓶颈
- 特别注意时间戳：响应中 ThisUpdate 和 NextUpdate 应与服务器当前时间偏差 ≤60 秒，否则会被客户端拒绝
验证共享缓存与 resolver 抗压能力
stapling 失效常源于两个单点：resolver 查询阻塞、共享缓存未生效。需专项验证：
- 确认 ssl_stapling_cache 是否声明在 http 块（非 server 块）：
ssl_stapling_cache shared:OCSP:10m;—— 否则多 worker 进程无法共用缓存，高并发下各自重取 - 检查 resolver 是否含多个 DNS 且带 valid：
resolver 1.1.1.1 8.8.8.8 223.5.5.5 valid=300s;—— 单 DNS 故障会触发全量降级 - 强制缩短 resolver_timeout 到 3s：
resolver_timeout 3s;—— 默认 30s 会导致单次解析拖住整个 worker - 用
nginx -t和nginx -s reload后，立即手动预热：openssl ocsp -issuer chain.pem -cert fullchain.pem -url http://ocsp.int-x3.letsencrypt.org/ -respout /tmp/prewarm.ocsp
