Комментарии / Профиль nugged / Хабр

Andrew Nugged @nugged

Пользователь

Профиль Публикации 1Комментарии 9Закладки 31

Бесплатные SSL-сертификаты на 2 года с поддержкой до 100 доменов

nugged 7 апр 2015 в 21:02

Разобрались?

Я переставил FreeBSD (а там был dev-nginx) на убунту LTS, ну а там древний nginx (1.4), перестало работать.

Заапдейтил nginx

add-apt-repository ppa:nginx/development
apt-get update
apt-get remove nginx
apt-get install nginx

и заработало. Причём не на локальных тестах, а на ssllabs.com:
OCSP stapling Yes

У меня поставился: nginx (1.7.11-1+trusty0). Можно, если что, ppa:nginx/stable — может и 1.6 сработает, но я на свой сервер смелее решил быть :-).
Если стоят модули типа Nginx Perl — то надо remove nginx-* + install nginx-extras

И да, последовательность объединения сертификатов, и прочая — я вообще свалил в .pem-файл все, что насобриались тут вокруг Starcom/WoSign

1_ca.pem                   2760 bytes
2_sub.class1.server.ca.pem 2090 bytes
4_ca1g2-server1-free.pem   1956 bytes
5_ca6.server1.free.pem     2029 bytes
6_ca1_xs_sc_2.pem          2264 bytes
7_ca1_dv_free_2.pem        2029 bytes
8_WS_CA1_G2.pem            1269 bytes
9_WS_CA1_NEW.pem           1956 bytes

То-то я бился, что у меня с одного сервера месяц назад не работало (убунта) а с моего под боком (фря) работало.

Посмотреть

Бесплатные SSL-сертификаты на 2 года с поддержкой до 100 доменов

nugged 27 мар 2015 в 02:28

у меня с другого сервера, на другом континенте при том же конфиге — сыпятся эти ошибки.

Удалось достать контент из html-ответов с ocsp6.wosign.com?
Может они там через раз отвечают чем-то типа «503 Try again later… и далее»?
+ коннективити нестабильное в их Чинанет.

Возможно этот шестой сервак отвечает по остаточному принципу, и часть запросов таймаутятся и дропаются, «получите, задармшное», а часть просто роутятся на (бгг) страничку с рекламой :-), мало ли.

Посмотреть

Бесплатные SSL-сертификаты на 2 года с поддержкой до 100 доменов

nugged 25 мар 2015 в 19:26

При этом тестирование:

echo QUIT | openssl s_client -connect %YOUR_STAPLED_SITE%:443 -status 2> /dev/null | less'

вполне мирно отвечает:

CONNECTED(00000003)
OCSP response:
======================================
OCSP Response Data:
    OCSP Response Status: successful (0x0)
    Response Type: Basic OCSP Response
    Version: 1 (0x0)
    Responder Id: C = CN, O = WoSign CA Limited, CN = WoSign Free SSL OCSP Responder(G2)
    Produced At: Mar 25 16:21:03 2015 GMT

Посмотреть

Бесплатные SSL-сертификаты на 2 года с поддержкой до 100 доменов

nugged 25 мар 2015 в 19:08

только мне не нравится, что всё равно во всех попытках от www.ssllabs.com:
OCSP stapling: No

Блин. Надо разбираться вместе. :-).

Я туда склеивал:
ca1_dv_free_2.pem
ca1_xs_sc_2.pem
startcom.pem
перекопанное было оно тут: www.wosign.com/English/root.htm

trusted.pem

Посмотреть

Бесплатные SSL-сертификаты на 2 года с поддержкой до 100 доменов

nugged 25 мар 2015 в 18:52

nginx, stapling, ocsp6.wosign.com.
Имела место та же проблема.

1. StartCom, корневой, затолкал в папку системных сертификатов, это который:

subject= /C=IL/O=StartCom Ltd./OU=Secure Digital Certificate Signing/CN=StartCom Certification Authority
notBefore=Sep 17 19:46:36 2006 GMT
notAfter=Sep 17 19:46:36 2036 GMT
SHA1 Fingerprint=3E:2B:F7:F2:03:1B:96:F3:8C:E6:C4:D8:A8:5D:3E:2D:58:47:6A:0F

2. пересобрал для nginx ssl_trusted_certificate файл trusted.pem из трёх (а в цепочке мне выдавалось четыре, где четвёртый — уже на свой домен) сертификатов, которые выдавал отладчик команды:

openssl s_client -connect [site]:443 -tls1 -tlsextdebug -status

На пока в логах нет этой ошибки.

Посмотреть

Диагностика проблем с «нестабильной доступностью» сайта

nugged 4 апр 2014 в 19:20

А дайте пример сайта, мне интересно стало поковыряться, у меня давно-давно стоит AdBlock + ghostery, у них только мои рабочие сайты в белом списке (чтобы там от отрезанного кода где вёрстка не поплыла),

а для остальных сайтов в ghostery в белом списке только:
— Begun (без него сам сайт рекламной сети бегуна не работает);
— Google Analytics (без такого не работает интерфейс адвордса/адсенса);
— Google Website Optimizer;
— Google AJAX Search API;
— Google Custom Search Engine;
— Google Tag Manager;
— ну ещё иногда включал SiteHeart (для всяких саппортов по некоторым банкам и сервисам).

… а в остальных проблем не наблюдалось, сёрфлю себе, и не натыкался. Интересно посмотреть.

Посмотреть

Диагностика проблем с «нестабильной доступностью» сайта

nugged 4 апр 2014 в 19:11

В дополнение к двум just-ping и host-tracker добавлю ещё ping-admin.ru/free_ping/
Он рисовал мне, помню, ещё красивую карту и таблицу со временем доступа от ну просто кучи провайдеров.

Да, согласен. Можно было добавить целый абзац про ещё один метод, хотя он скорее не для того, у кого не работает, или работает плохо, а для того, кто хочет знать, вдруг его датацентр с сайтом где-то отрезан от куска мира, и поставить сисадмину задачу, разобраться, правда ли это, и почему.

Посмотреть

Диагностика проблем с «нестабильной доступностью» сайта

nugged 3 апр 2014 в 22:11

По конструктиву: К.О., конечно, рядом ходит возле каждого из нас. И мы писали материал как советы не для спецов.
Я хочу собрать опыт людей из хабросообщества, в дополнение к изложенному. Какие ещё проблемы, частые и легко проверяемые «не специалистом», могут быть.

А потом — статью и комментарии (дельные комментарии, я надеюсь), давать читать, например, своему шефу.

Посмотреть

Диагностика проблем с «нестабильной доступностью» сайта

nugged 3 апр 2014 в 22:02

Я — соблюдаю. Я, даже если нет никого, всё равно на красный свет стою. Или мы о чём?
Вы не по теме, и как-то выглядит это грубо, и жалоба не ко мне, как и минус, вероятно.

Посмотреть