大型網站https實踐（下）

• 作者：新網
• 來源：新網
• 瀏覽：100
• 2018-05-04 11:04:23

當然不是每個請求都需要增加 7 個 RTT 才能完成 HTTPS 首次請求交互。大概只有不到 0.01% 的請求才有可能需要經歷上述步驟，它們需要滿足如下條件。

 用戶只需要完成 TCP 三次握手建立 TCP 連接就能夠直接發送 HTTP 請求獲取應用層數據，此外在整個訪問過程中也沒有需要消耗計算資源的地方。

 

接下來看 HTTPS 的訪問過程，相比 HTTP 要復雜很多，在部分場景下，使用 HTTPS 訪問有可能增加 7 個 RTT。

 

HTTPS 首次請求需要的網絡耗時解釋如下：

 

1， 三次握手建立 TCP 連接。耗時一個 RTT。

 

2， 使用 HTTP 發起 GET 請求，服務端返回 302 跳轉到 https://www.baidu.com。需要一個 RTT 以及 302 跳轉延時。

 

a) 大部分情況下用戶不會手動輸入 https://www.baidu.com 來訪問 HTTPS，服務端只能返回 302 強制瀏覽器跳轉到 https。

 

b) 瀏覽器處理 302 跳轉也需要耗時。

 

3， 三次握手重新建立 TCP 連接。耗時一個 RTT。

 

a) 302 跳轉到 HTTPS 服務器之后，由于端口和服務器不同，需要重新完成三次握手，建立 TCP 連接。

 

4， TLS 完全握手階段一。耗時至少一個 RTT。

 

a) 這個階段主要是完成加密套件的協商和證書的身份認證。

 

b) 服務端和瀏覽器會協商出相同的密鑰交換算法、對稱加密算法、內容一致性校驗算法、證書簽名算法、橢圓曲線(非 ECC 算法不需要)等。

 

c) 瀏覽器獲取到證書后需要校驗證書的有效性，比如是否過期，是否撤銷。

 

5， 解析 CA 站點的 DNS。耗時一個 RTT。

 

a) 瀏覽器獲取到證書后，有可能需要發起 OCSP 或者 CRL 請求，查詢證書狀態。

 

b) 瀏覽器首先獲取證書里的 CA 域名。

 

c) 如果沒有命中緩存，瀏覽器需要解析 CA 域名的 DNS。

 

6， 三次握手建立 CA 站點的 TCP 連接。耗時一個 RTT。

 

a) DNS 解析到 IP 后，需要完成三次握手建立 TCP 連接。

 

7， 發起 OCSP 請求，獲取響應。耗時一個 RTT。

 

8， 完全握手階段二，耗時一個 RTT 及計算時間。

 

a) 完全握手階段二主要是密鑰協商。

 

9， 完全握手結束后，瀏覽器和服務器之間進行應用層(也就是 HTTP)數據傳輸。

 

當然不是每個請求都需要增加 7 個 RTT 才能完成 HTTPS 首次請求交互。大概只有不到 0.01% 的請求才有可能需要經歷上述步驟，它們需要滿足如下條件：

 

1， 必須是首次請求。即建立 TCP 連接后發起的第一個請求，該連接上的后續請求都不需要再發生上述行為。

 

2， 必須要發生完全握手，而正常情況下 80% 的請求能實現簡化握手。

 

3， 瀏覽器需要開啟 OCSP 或者 CRL 功能。Chrome 默認關閉了 ocsp 功能，firefox 和 IE 都默認開啟。

 

4， 瀏覽器沒有命中 OCSP 緩存。Ocsp 一般的更新周期是 7 天，firefox 的查詢周期也是 7 天，也就說是 7 天中才會發生一次 ocsp 的查詢。

 

5， 瀏覽器沒有命中 CA 站點的 DNS 緩存。只有沒命中 DNS 緩存的情況下才會解析 CA 的 DNS。

 

以上就是小編對大型網站https實踐的解析。