Let's Encrypt 的 OSCP 域名被污染，对打开 LE 证书的网站有实际影响吗？

[Buffer2Disk]

目前国内 Let's Encrypt 的 OSCP 域名 ocsp.int-x3.letsencrypt.org 的解析被 DNS 污染，

已知的问题是会对域名证书的续期造成影响，目前服务器上改 host 可以解决，不知道有没有啥更好的解决方案？


听说不同的浏览器对 OSCP 验证的处理不同，如果有些浏览器要先验证 OSCP 的话，那 OSCP 域名被 DNS 被污染后，打开网站的体验就会非常不好了

查了一些资料感觉年代有点久远了，资料上写的是:
chrome 好像是忽视了 OSCP 的验证，IE 和 Safari 都需要 OSCP 验证

但是我实测了下，用 IE 打开 Let's Encrypt 签发证书的网站，好像挺顺畅的，没啥影响
(服务器 nginx 那边确定是没开 ssl_stapling，难道客户端有缓存的原因?)

[Buffer2Disk]

@yylzcom
@eason1874

有个问题就是，
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8

这么配置，大陆能正常用 8.8.8.8 吗？ 会不会有抽风的风险

[bclerdx]

@dot2017 a771 、a770 、a772 是什么意思？

[bclerdx]

@id7368 墙现在是胆大包天，无所不用。

[eason1874]

@Buffer2Disk #21 好像偶尔抽风，我看日志里 www.google-analytics.com 一天有一次两次 time out，基本不影响。

如果实在担心，搞个定时脚本自己获取正确的 OCSP response 保存到文件给 ssl_stapling_file 调用，这样一次两次的解析失败应该就不能影响到任何用户了。

[Buffer2Disk]

@eason1874

问题还是来了，如何稳定的获得正确的 OCSP response 。。。。。

[happylty]

联通 DNS 正常。
IP
2600:1417:76::6874:f3cb
Location
中国 台湾 台北市
ISP
akamai.com

[happylty]

IPv4 是 192.64.119.254
美国 亚利桑那州 凤凰城
ping 测试 249 ms

[CoderLife]

小程序影响很大: /t/662189

[bagel]

为什么 OSCP 域名被污染“会对域名证书的续期造成影响”？ OSCP 是客户端验证，和证书更新是两套机制吧？难道证书更新续期也用的这个域名？我就在用 Let's Encrypt 的证书，在考虑是不是要换。

[Buffer2Disk]

@bagel 你自己试试更新证书看看，我在更新证书的时候就碰到调用这个域名的问题了

[Croath]

同样问题遇到了，换了证书之后秒开了。

断断续续半个月时间社区里 iOS 用户不断反应这个问题。谢谢大家提供的思路和实验。