Снимаю все обвинения с nginx - у меня оказывается вылез
известный баг FF, когда ему не нравилось как работают некие
ajax-скрипты на странице и он считал что данные получены по несекурному
каналу и снимал знак ssl в адресной строке. Весь мозг сломал пока
докопался до истины.<br>
<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=477118">https://bugzilla.mozilla.org/show_bug.cgi?id=477118</a><br>
<br>
Антон.<br>
<br clear="all"><br><br><div class="gmail_quote">2009/8/23 Igor Sysoev <span dir="ltr"><<a href="mailto:is@rambler-co.ru">is@rambler-co.ru</a>></span><br><blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;">
<div class="im">On Sat, Aug 22, 2009 at 10:50:36AM +0200, Anton Kuznetsov wrote:<br>
<br>
> Игорь, огромное спасибо за это письмо, я-то все это время мучался - не знал<br>
> как устроить дебаг-проверку ssl-соединению.<br>
><br>
> На своего хомяка цепочку приклеил, так правильно конечно, но это ладно...<br>
<br>
</div>Теперь работает.<br>
<div class="im"><br>
> С <a href="http://app.inntelligenz.com" target="_blank">app.inntelligenz.com</a> ситуация дома странная, из 4 броузеров - safari &<br>
> chrome признали, а IE8 & FF3.5 - по прежнему ругаются. Я им почистил уже все<br>
> что мог и профиль новый и все равно никак... Ну ладно, надеюсь это уже мои<br>
> локальные проблемы, а nginx свое дело делает правильно...<br>
<br>
</div>Как именно ругаются - вообще не дают зайти на сайт ?<br>
<br>
С новым профилем как раз больше вероятность не зайти - это нужно<br>
использовать, чтобы убедиться, что цепочка правильная.<br>
<div><div></div><div class="h5"><br>
> Антон.<br>
><br>
> 2009/8/22 Igor Sysoev <<a href="mailto:is@rambler-co.ru">is@rambler-co.ru</a>><br>
><br>
> > On Sat, Aug 22, 2009 at 03:23:31AM +0200, Anton Kuznetsov wrote:<br>
> ><br>
> > > Ну с порядком сложно ошибиться. К основному я приклеил промежуточные. Их<br>
> > там<br>
> > > три.<br>
> > > Обе конторы свои промежуточные конечно присылают вместе с основным - это<br>
> > не<br>
> > > проблема.<br>
> > > С глобе все работает. Интересно что делать с godaddy? Вроде как на апаче<br>
> > > работает, где промежуточные прописываешь отдельной строчкой, в чем трабла<br>
> > на<br>
> > > nginx?<br>
> > > Сейчас, когда он работает со склееными сертификатами в один файл, то wget<br>
> > > ругается на них так:<br>
> > ><br>
> > > $wget "<a href="https://app.inntelligenz.com/sign" target="_blank">https://app.inntelligenz.com/sign</a>"<br>
> > > --2009-08-22 05:22:19-- <a href="https://app.inntelligenz.com/sign" target="_blank">https://app.inntelligenz.com/sign</a><br>
> > > Распознаётся app.inntelligenz.com... 174.129.210.211<br>
> > > Устанавливается соединение с <a href="http://app.inntelligenz.com" target="_blank">app.inntelligenz.com</a><br>
> > |174.129.210.211|:443...<br>
> > > соединение установлено.<br>
> > > ОШИБКА: невозможно проверить сертификат <a href="http://app.inntelligenz.com" target="_blank">app.inntelligenz.com</a>,<br>
> > запрошенный<br>
> > > `/C=US<br>
> > > /ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=<br>
> > > <a href="http://certificates.godaddy.com/" target="_blank">http://certificates.godaddy.com/</a><br>
> > > repository/CN=Go Daddy Secure Certification<br>
> > > Authority/serialNumber=07969287':<br>
> > > Обнаружен самостоятельно подписанный сертификат.<br>
> > ><br>
> > > Как-то странно все это...<br>
> ><br>
> > Потому что wget должен знать про эти серфтификаты.<br>
> ><br>
> > Сейчас "openssl s_client -connect <a href="http://app.inntelligenz.com:443" target="_blank">app.inntelligenz.com:443</a>" выдаёт такую<br>
> > цепочку сертификатов:<br>
> ><br>
> > Certificate chain<br>
> > 0 s:/O=<a href="http://app.inntelligenz.com/OU=Domain" target="_blank">app.inntelligenz.com/OU=Domain</a> Control Validated/CN=<br>
> > <a href="http://app.inntelligenz.com" target="_blank">app.inntelligenz.com</a><br>
> > i:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=<br>
> > <a href="http://certificates.godaddy.com/repository/CN=Go" target="_blank">http://certificates.godaddy.com/repository/CN=Go</a> Daddy Secure<br>
> > Certification Authority/serialNumber=07969287<br>
> > 1 s:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=<br>
> > <a href="http://certificates.godaddy.com/repository/CN=Go" target="_blank">http://certificates.godaddy.com/repository/CN=Go</a> Daddy Secure<br>
> > Certification Authority/serialNumber=07969287<br>
> > i:/C=US/O=The Go Daddy Group, Inc./OU=Go Daddy Class 2 Certification<br>
> > Authority<br>
> > 2 s:/C=US/O=The Go Daddy Group, Inc./OU=Go Daddy Class 2 Certification<br>
> > Authority<br>
> > i:/L=ValiCert Validation Network/O=ValiCert, Inc./OU=ValiCert Class 2<br>
> > Policy Validation Authority/CN=<br>
> > <a href="http://www.valicert.com//emailAddress=info@valicert.com" target="_blank">http://www.valicert.com//emailAddress=info@valicert.com</a><br>
> > 3 s:/L=ValiCert Validation Network/O=ValiCert, Inc./OU=ValiCert Class 2<br>
> > Policy Validation Authority/CN=<br>
> > <a href="http://www.valicert.com//emailAddress=info@valicert.com" target="_blank">http://www.valicert.com//emailAddress=info@valicert.com</a><br>
> > i:/L=ValiCert Validation Network/O=ValiCert, Inc./OU=ValiCert Class 2<br>
> > Policy Validation Authority/CN=<br>
> > <a href="http://www.valicert.com//emailAddress=info@valicert.com" target="_blank">http://www.valicert.com//emailAddress=info@valicert.com</a><br>
> ><br>
> > У firefox 3.0.13 с чистым профайлом есть второй сертификат<br>
> > "/C=US/O=The Go Daddy Group, Inc./....". Поэтому доверяет он этой цепочке<br>
> > и запоминает первый сертификат<br>
> > "C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./...".<br>
> ><br>
> > "openssl s_client -connect <a href="http://arjlover.net:443" target="_blank">arjlover.net:443</a>" сейчас выдаёт единственный<br>
> > сертификат:<br>
> ><br>
> > Certificate chain<br>
> > 0 s:/OU=Domain Control Validated/OU=Provided by Globe Hosting,<br>
> > Inc./OU=Globe Standard SSL/CN=<a href="http://arjlover.net" target="_blank">arjlover.net</a><br>
> > i:/C=RO/O=GLOBE HOSTING CERTIFICATION AUTHORITY/CN=GLOBE SSL Domain<br>
> > Validated CA<br>
> ><br>
> > который не нравится чистому firefox'у, потому что у него нет<br>
> > "/C=RO/O=GLOBE HOSTING CERTIFICATION AUTHORITY/...". Однако если зайти<br>
> > на <a href="http://globessl.com" target="_blank">http://globessl.com</a>, то это серфтикат появится и после этого<br>
> > <a href="https://arjlover.net" target="_blank">https://arjlover.net</a> начинает работать.<br>
> ><br>
> ><br>
> > > Антон.<br>
> > ><br>
> > > 2009/8/21 Igor Sysoev <<a href="mailto:is@rambler-co.ru">is@rambler-co.ru</a>><br>
> > ><br>
> > > > On Fri, Aug 21, 2009 at 09:27:44PM +0400, Igor Sysoev wrote:<br>
> > > ><br>
> > > > > On Fri, Aug 21, 2009 at 06:45:23PM +0200, Anton Kuznetsov wrote:<br>
> > > > ><br>
> > > > > > В первый раз ставлю честный купленный сертификат, в большом<br>
> > недоумении<br>
> > > > от<br>
> > > > > > результатов.<br>
> > > > > ><br>
> > > > > > Купил первый на пробу от <a href="http://globessl.com" target="_blank">globessl.com</a><br>
> > > > > > поставил на хомяка <a href="https://arjlover.net" target="_blank">https://arjlover.net</a> - почти везде работает,<br>
> > хотя у<br>
> > > > меня<br>
> > > > > > на работе не проходит в любом броузере.<br>
> > > > > ><br>
> > > > > > Сделал по инструкции от globe:<br>
> > > > > > #openssl req -nodes -newkey rsa:2048 -keyout myserver.key -out<br>
> > > > server.csr<br>
> > > > > ><br>
> > > > > > в конфиг nginx написал так:<br>
> > > > > ><br>
> > > > > > ssl on;<br>
> > > > > > ssl_protocols SSLv3 TLSv1;<br>
> > > > > > ssl_certificate /usr/local/etc/nginx/ssl/arjlover_net.crt;<br>
> > > > > > ssl_certificate_key /usr/local/etc/nginx/ssl/myserver.key;<br>
> > > > > ><br>
> > > > > > Ну вроде завелось... nginx version: nginx/0.8.5 FreeBSD 6.3<br>
> > > > > ><br>
> > > > > > ===============<br>
> > > > > > Теперь делаю для апликухи<br>
> > > > > > <a href="https://app.inntelligenz.com/sign" target="_blank">https://app.inntelligenz.com/sign</a><br>
> > > > > > Все аналогично, купить решил у <a href="http://godaddy.com" target="_blank">godaddy.com</a>, сделал сертификаты, те<br>
> > же<br>
> > > > > > строчки в nginx и... не работает!!! Хотя вчера вечером дома у меня<br>
> > одна<br>
> > > > > > страница открылась с валидным сертификатом и так и закэшировалась.<br>
> > > > Остальные<br>
> > > > > > урлы ругаются. Смех! nginx version: nginx/0.8.6 Ubuntu<br>
> > > > > > Что делать, куда копать?<br>
> > > > > ><br>
> > > > > > Еще один побочный вопрос - что это за файл gd_bundle.crt?<br>
> > Прописывается<br>
> > > > в<br>
> > > > > > апач строчкой<br>
> > > > > > SSLCertificateChainFile /ssl/gd_bundle.crt<br>
> > > > > > Почему аналогичной строчки нет у nginx?<br>
> > > > > > Если я все это поднимаю на апаче вот так:<br>
> > > > > > SSLCertificateFile /ssl/app.inntelligenz.com.crt<br>
> > > > > > SSLCertificateKeyFile /ssl/myserver.key<br>
> > > > > > SSLCertificateChainFile /ssl/gd_bundle.crt<br>
> > > > > ><br>
> > > > > > То верификация работает!!! Но надо на nginx...<br>
> > > > ><br>
> > > > > gd_bundle.crt - это не побочный вопрос, а основной. Нужно сделать<br>
> > так:<br>
> > > > > cat app.inntelligenz.com.crt gd_bundle.crt ><br>
> > app.inntelligenz.com.full<br>
> > > > ><br>
> > > > > и использовать получённую цепочку сертификатов:<br>
> > > > > ssl_certificate<br>
> > /usr/local/etc/nginx/ssl/app.inntelligenz.com.full<br>
> > > > ><br>
> > > > > То же самое нужно повторить с <a href="http://globessl.com" target="_blank">globessl.com</a> - добавить их<br>
> > промежуточные<br>
> > > > > сертификаты к основному. Тогда должно работать со всеми браузерами.<br>
> > > ><br>
> > > > Вот тут берутся промежуточные сертификаты <a href="http://globessl.com" target="_blank">globessl.com</a>:<br>
> > > ><br>
> > > ><br>
> > <a href="http://customer.globessl.com/knowledgebase/48/GlobeSSL_CA_Root_and_Intermediate_Certificates.html" target="_blank">http://customer.globessl.com/knowledgebase/48/GlobeSSL_CA_Root_and_Intermediate_Certificates.html</a><br>
> > > ><br>
> > > ><br>
> > > > --<br>
> > > > Игорь Сысоев<br>
> > > > <a href="http://sysoev.ru" target="_blank">http://sysoev.ru</a><br>
> > > ><br>
> > > ><br>
> ><br>
> > --<br>
> > Игорь Сысоев<br>
> > <a href="http://sysoev.ru" target="_blank">http://sysoev.ru</a><br>
> ><br>
> ><br>
<br>
</div></div>--<br>
<div><div></div><div class="h5">Игорь Сысоев<br>
<a href="http://sysoev.ru" target="_blank">http://sysoev.ru</a><br>
<br>
</div></div></blockquote></div><br><br clear="all"><br>-- <br>Best regards,<br>Anton Kuznetsov. <br>