Question

大型网站https实践（下）

Answer 1

用户只需要完成TCP三次握手建立TCP连接就能够直接发送HTTP请求获取应用层数据，此外在整个访问过程中也没有需要消耗计算资源的地方。

接下来看HTTPS的访问过程，相比HTTP要复杂很多，在部分场景下，使用HTTPS访问有可能增加7个RTT。

HTTPS首次请求需要的网络耗时解释如下：

1，三次握手建立TCP连接。耗时一个RTT。

2，使用HTTP发起GET请求，服务端返回302跳转到www.baidu.com。需要一个RTT以及302跳转延时。

a)大部分情况下用户不会手动输入www.baidu.com来访问HTTPS，服务端只能返回302强制浏览器跳转到https。

b)浏览器处理302跳转也需要耗时。

3，三次握手重新建立TCP连接。耗时一个RTT。

a)302跳转到HTTPS服务器之后，由于端口和服务器不同，需要重新完成三次握手，建立TCP连接。

4，TLS完全握手阶段一。耗时至少一个RTT。

a)这个阶段主要是完成加密套件的协商和证书的身份认证。

b)服务端和浏览器会协商出相同的密钥交换算法、对称加密算法、内容一致性校验算法、证书签名算法、椭圆曲线(非ECC算法不需要)等。

c)浏览器获取到证书后需要校验证书的有效性，比如是否过期，是否撤销。

5，解析CA站点的DNS。耗时一个RTT。

a)浏览器获取到证书后，有可能需要发起OCSP或者CRL请求，查询证书状态。

b)浏览器首先获取证书里的CA域名。

c)如果没有命中缓存，浏览器需要解析CA域名的DNS。

6，三次握手建立CA站点的TCP连接。耗时一个RTT。

a)DNS解析到IP后，需要完成三次握手建立TCP连接。

7，发起OCSP请求，获取响应。耗时一个RTT。

8，完全握手阶段二，耗时一个RTT及计算时间。

a)完全握手阶段二主要是密钥协商。

9，完全握手结束后，浏览器和服务器之间进行应用层(也就是HTTP)数据传输。

当然不是每个请求都需要增加7个RTT才能完成HTTPS首次请求交互。大概只有不到0.01%的请求才有可能需要经历上述步骤，它们需要满足如下条件：

1，必须是首次请求。即建立TCP连接后发起的第一个请求，该连接上的后续请求都不需要再发生上述行为。

2，必须要发生完全握手，而正常情况下80%的请求能实现简化握手。

3，浏览器需要开启OCSP或者CRL功能。Chrome默认关闭了ocsp功能，firefox和IE都默认开启。

4，浏览器没有命中OCSP缓存。Ocsp一般的更新周期是7天，firefox的查询周期也是7天，也就说是7天中才会发生一次ocsp的查询。

5，浏览器没有命中CA站点的DNS缓存。只有没命中DNS缓存的情况下才会解析CA的DNS。

以上就是小编对大型网站https实践的解析。

网站httpshttp大型网站网站https