Игорь, огромное спасибо за это письмо, я-то все это время мучался - не знал как устроить дебаг-проверку ssl-соединению.<br><br>На своего хомяка цепочку приклеил, так правильно конечно, но это ладно...<br><br>С <a href="http://app.inntelligenz.com">app.inntelligenz.com</a> ситуация дома странная, из 4 броузеров - safari & chrome признали, а IE8 & FF3.5 - по прежнему ругаются. Я им почистил уже все что мог и профиль новый и все равно никак... Ну ладно, надеюсь это уже мои локальные проблемы, а nginx свое дело делает правильно...<br>
<br>Антон.<br><br><div class="gmail_quote">2009/8/22 Igor Sysoev <span dir="ltr"><<a href="mailto:is@rambler-co.ru">is@rambler-co.ru</a>></span><br><blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;">
<div class="im">On Sat, Aug 22, 2009 at 03:23:31AM +0200, Anton Kuznetsov wrote:<br>
<br>
> Ну с порядком сложно ошибиться. К основному я приклеил промежуточные. Их там<br>
> три.<br>
> Обе конторы свои промежуточные конечно присылают вместе с основным - это не<br>
> проблема.<br>
> С глобе все работает. Интересно что делать с godaddy? Вроде как на апаче<br>
> работает, где промежуточные прописываешь отдельной строчкой, в чем трабла на<br>
> nginx?<br>
> Сейчас, когда он работает со склееными сертификатами в один файл, то wget<br>
> ругается на них так:<br>
><br>
> $wget "<a href="https://app.inntelligenz.com/sign" target="_blank">https://app.inntelligenz.com/sign</a>"<br>
> --2009-08-22 05:22:19-- <a href="https://app.inntelligenz.com/sign" target="_blank">https://app.inntelligenz.com/sign</a><br>
> Распознаётся app.inntelligenz.com... 174.129.210.211<br>
> Устанавливается соединение с <a href="http://app.inntelligenz.com" target="_blank">app.inntelligenz.com</a>|174.129.210.211|:443...<br>
> соединение установлено.<br>
> ОШИБКА: невозможно проверить сертификат <a href="http://app.inntelligenz.com" target="_blank">app.inntelligenz.com</a>, запрошенный<br>
> `/C=US<br>
> /ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=<br>
> <a href="http://certificates.godaddy.com/" target="_blank">http://certificates.godaddy.com/</a><br>
> repository/CN=Go Daddy Secure Certification<br>
> Authority/serialNumber=07969287':<br>
> Обнаружен самостоятельно подписанный сертификат.<br>
><br>
> Как-то странно все это...<br>
<br>
</div>Потому что wget должен знать про эти серфтификаты.<br>
<br>
Сейчас "openssl s_client -connect <a href="http://app.inntelligenz.com:443" target="_blank">app.inntelligenz.com:443</a>" выдаёт такую<br>
цепочку сертификатов:<br>
<br>
Certificate chain<br>
0 s:/O=<a href="http://app.inntelligenz.com/OU=Domain" target="_blank">app.inntelligenz.com/OU=Domain</a> Control Validated/CN=<a href="http://app.inntelligenz.com" target="_blank">app.inntelligenz.com</a><br>
i:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=<a href="http://certificates.godaddy.com/repository/CN=Go" target="_blank">http://certificates.godaddy.com/repository/CN=Go</a> Daddy Secure Certification Authority/serialNumber=07969287<br>
1 s:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=<a href="http://certificates.godaddy.com/repository/CN=Go" target="_blank">http://certificates.godaddy.com/repository/CN=Go</a> Daddy Secure Certification Authority/serialNumber=07969287<br>
i:/C=US/O=The Go Daddy Group, Inc./OU=Go Daddy Class 2 Certification Authority<br>
2 s:/C=US/O=The Go Daddy Group, Inc./OU=Go Daddy Class 2 Certification Authority<br>
i:/L=ValiCert Validation Network/O=ValiCert, Inc./OU=ValiCert Class 2 Policy Validation Authority/CN=<a href="http://www.valicert.com//emailAddress=info@valicert.com" target="_blank">http://www.valicert.com//emailAddress=info@valicert.com</a><br>
3 s:/L=ValiCert Validation Network/O=ValiCert, Inc./OU=ValiCert Class 2 Policy Validation Authority/CN=<a href="http://www.valicert.com//emailAddress=info@valicert.com" target="_blank">http://www.valicert.com//emailAddress=info@valicert.com</a><br>
i:/L=ValiCert Validation Network/O=ValiCert, Inc./OU=ValiCert Class 2 Policy Validation Authority/CN=<a href="http://www.valicert.com//emailAddress=info@valicert.com" target="_blank">http://www.valicert.com//emailAddress=info@valicert.com</a><br>
<br>
У firefox 3.0.13 с чистым профайлом есть второй сертификат<br>
"/C=US/O=The Go Daddy Group, Inc./....". Поэтому доверяет он этой цепочке<br>
и запоминает первый сертификат<br>
"C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./...".<br>
<br>
"openssl s_client -connect <a href="http://arjlover.net:443" target="_blank">arjlover.net:443</a>" сейчас выдаёт единственный<br>
сертификат:<br>
<br>
Certificate chain<br>
0 s:/OU=Domain Control Validated/OU=Provided by Globe Hosting, Inc./OU=Globe Standard SSL/CN=<a href="http://arjlover.net" target="_blank">arjlover.net</a><br>
i:/C=RO/O=GLOBE HOSTING CERTIFICATION AUTHORITY/CN=GLOBE SSL Domain Validated CA<br>
<br>
который не нравится чистому firefox'у, потому что у него нет<br>
"/C=RO/O=GLOBE HOSTING CERTIFICATION AUTHORITY/...". Однако если зайти<br>
на <a href="http://globessl.com" target="_blank">http://globessl.com</a>, то это серфтикат появится и после этого<br>
<a href="https://arjlover.net" target="_blank">https://arjlover.net</a> начинает работать.<br>
<div><div></div><div class="h5"><br>
<br>
> Антон.<br>
><br>
> 2009/8/21 Igor Sysoev <<a href="mailto:is@rambler-co.ru">is@rambler-co.ru</a>><br>
><br>
> > On Fri, Aug 21, 2009 at 09:27:44PM +0400, Igor Sysoev wrote:<br>
> ><br>
> > > On Fri, Aug 21, 2009 at 06:45:23PM +0200, Anton Kuznetsov wrote:<br>
> > ><br>
> > > > В первый раз ставлю честный купленный сертификат, в большом недоумении<br>
> > от<br>
> > > > результатов.<br>
> > > ><br>
> > > > Купил первый на пробу от <a href="http://globessl.com" target="_blank">globessl.com</a><br>
> > > > поставил на хомяка <a href="https://arjlover.net" target="_blank">https://arjlover.net</a> - почти везде работает, хотя у<br>
> > меня<br>
> > > > на работе не проходит в любом броузере.<br>
> > > ><br>
> > > > Сделал по инструкции от globe:<br>
> > > > #openssl req -nodes -newkey rsa:2048 -keyout myserver.key -out<br>
> > server.csr<br>
> > > ><br>
> > > > в конфиг nginx написал так:<br>
> > > ><br>
> > > > ssl on;<br>
> > > > ssl_protocols SSLv3 TLSv1;<br>
> > > > ssl_certificate /usr/local/etc/nginx/ssl/arjlover_net.crt;<br>
> > > > ssl_certificate_key /usr/local/etc/nginx/ssl/myserver.key;<br>
> > > ><br>
> > > > Ну вроде завелось... nginx version: nginx/0.8.5 FreeBSD 6.3<br>
> > > ><br>
> > > > ===============<br>
> > > > Теперь делаю для апликухи<br>
> > > > <a href="https://app.inntelligenz.com/sign" target="_blank">https://app.inntelligenz.com/sign</a><br>
> > > > Все аналогично, купить решил у <a href="http://godaddy.com" target="_blank">godaddy.com</a>, сделал сертификаты, те же<br>
> > > > строчки в nginx и... не работает!!! Хотя вчера вечером дома у меня одна<br>
> > > > страница открылась с валидным сертификатом и так и закэшировалась.<br>
> > Остальные<br>
> > > > урлы ругаются. Смех! nginx version: nginx/0.8.6 Ubuntu<br>
> > > > Что делать, куда копать?<br>
> > > ><br>
> > > > Еще один побочный вопрос - что это за файл gd_bundle.crt? Прописывается<br>
> > в<br>
> > > > апач строчкой<br>
> > > > SSLCertificateChainFile /ssl/gd_bundle.crt<br>
> > > > Почему аналогичной строчки нет у nginx?<br>
> > > > Если я все это поднимаю на апаче вот так:<br>
> > > > SSLCertificateFile /ssl/app.inntelligenz.com.crt<br>
> > > > SSLCertificateKeyFile /ssl/myserver.key<br>
> > > > SSLCertificateChainFile /ssl/gd_bundle.crt<br>
> > > ><br>
> > > > То верификация работает!!! Но надо на nginx...<br>
> > ><br>
> > > gd_bundle.crt - это не побочный вопрос, а основной. Нужно сделать так:<br>
> > > cat app.inntelligenz.com.crt gd_bundle.crt > app.inntelligenz.com.full<br>
> > ><br>
> > > и использовать получённую цепочку сертификатов:<br>
> > > ssl_certificate /usr/local/etc/nginx/ssl/app.inntelligenz.com.full<br>
> > ><br>
> > > То же самое нужно повторить с <a href="http://globessl.com" target="_blank">globessl.com</a> - добавить их промежуточные<br>
> > > сертификаты к основному. Тогда должно работать со всеми браузерами.<br>
> ><br>
> > Вот тут берутся промежуточные сертификаты <a href="http://globessl.com" target="_blank">globessl.com</a>:<br>
> ><br>
> > <a href="http://customer.globessl.com/knowledgebase/48/GlobeSSL_CA_Root_and_Intermediate_Certificates.html" target="_blank">http://customer.globessl.com/knowledgebase/48/GlobeSSL_CA_Root_and_Intermediate_Certificates.html</a><br>
> ><br>
> ><br>
> > --<br>
> > Игорь Сысоев<br>
> > <a href="http://sysoev.ru" target="_blank">http://sysoev.ru</a><br>
> ><br>
> ><br>
<br>
</div></div>--<br>
<div><div></div><div class="h5">Игорь Сысоев<br>
<a href="http://sysoev.ru" target="_blank">http://sysoev.ru</a><br>
<br>
</div></div></blockquote></div><br><br>