Нет, дело было не в этом.
Вот тут: habrahabr.ru/post/254231/#comment_8351591 ответили в чем дело.
Nginx асинхронно отправляет ocsp-запрос, по этому первые коннекты идут без ocsp-response.
Сейчас уже все работает как нужно.
Хоть скучное решение и работало вчера, но…
Обновился до 1.7.11. Теперь openssl s_client показывает
ocsp-response, но вот ssllabs все равно говорит NO.
При этом openssl показывает ocsp-response только
со второго(после рестарта) коннекта, но это, как я
понимаю изза очень медленных китайцев.
Тем не менее, не понимаю почему ssllabs его не видит…
Я еще пробовал в ручную запрашивать ocsp-ответ от китайцев и подсовывать в nginx ocsp-файл примерно так: ssl_stapling_file /opt/cert/example.com.ocsp;
Вот в таком случае ssllabs говорит YES, но вот Firefox отказывается ходить на такой сайт со словами «в ocsp-ответе нет информации о запрашиваемом сертификате».
Еще я пробовал в ручную заставить nginx ходить за ocsp-запросами по урлу:
Двух магазинах. Обращались, в горячей линии отфутболили к местному менеджеру. Местный менеджер обещал применять меры. Как он их применяет — хорошо видно в статье.
Вот тут: habrahabr.ru/post/254231/#comment_8351591 ответили в чем дело.
Nginx асинхронно отправляет ocsp-запрос, по этому первые коннекты идут без ocsp-response.
Сейчас уже все работает как нужно.
Хоть скучное решение и работало вчера, но…
Обновился до 1.7.11. Теперь openssl s_client показывает
ocsp-response, но вот ssllabs все равно говорит NO.
При этом openssl показывает ocsp-response только
со второго(после рестарта) коннекта, но это, как я
понимаю изза очень медленных китайцев.
Тем не менее, не понимаю почему ssllabs его не видит…
Кстати, а globalsign говорит YES…
А тут рабочее решение: habrahabr.ru/post/254231/#comment_8350543
Первый(скучный) вариант работает на ура.
Патчить nginx не стал.
Кой что добавлю:
Первое — чтобы порт наружу не светился, второе — чтобы не мусорило в логи.
Однако, не работает.
По вашей ссылке, где проверка вашего блога на ssllabs:
Я попробовал у себя ваш способ. Результат такой же.
При обращении к серверу в error.log nginx пишет следующее:
Я еще пробовал в ручную запрашивать ocsp-ответ от китайцев и подсовывать в nginx ocsp-файл примерно так:
ssl_stapling_file /opt/cert/example.com.ocsp;
Вот в таком случае ssllabs говорит YES, но вот Firefox отказывается ходить на такой сайт со словами «в ocsp-ответе нет информации о запрашиваемом сертификате».
Еще я пробовал в ручную заставить nginx ходить за ocsp-запросами по урлу:
Этот урл я взял, из сертификата.
В таком случае он ругается в логах так:
Ну и соответственно, результат отрицательный.
У кого еще есть идеи? Может быть у кого получилось сделать правильный ocsp-файл?
P.S.: Кстати, wosign отсылает промежуточные сертификаты вместе с запрошенным в одном zip файле, так что качать их со startssl не обязательно.