Nginx 配置 Encryption365 IP 证书范例

This site is best viewed in a modern browser with JavaScript enabled.

londry

应用户@xiaoxu li要求，我们配置了Nginx下的 Encryption365 IP 范例站点，可以正常访问并识别主机名：

配置文件如下：

server
{
    listen 80;
    listen 443 ssl http2;
    server_name 101.132.46.3;
    index index.php index.html index.htm default.php default.htm default.html;
    root /ssd09/wwwroot/101.132.46.3;
    
    #SSL-START SSL相关配置，请勿删除或修改下一行带注释的404规则
    #error_page 404/404.html;
    #HTTP_TO_HTTPS_START
    if ($server_port !~ 443){
        rewrite ^(/.*)$ https://$host$1 permanent;
    }
    #HTTP_TO_HTTPS_END
    ssl_certificate    /etc/encryption365/live/101.132.46.3/fullchain.pem;
    ssl_certificate_key    /etc/encryption365/live/101.132.46.3/privkey.pem;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    error_page 497  https://$host$request_uri;

    #SSL-END
    
   # return 400;
    
    #ERROR-PAGE-START  错误页配置，可以注释、删除或修改
    error_page 404 /404.html;
    error_page 502 /502.html;
    #ERROR-PAGE-END
    
    #PHP-INFO-START  PHP引用配置，可以注释或修改
    include enable-php-72.conf;
    #PHP-INFO-END
    
    #REWRITE-START URL重写规则引用,修改后将导致面板设置的伪静态规则失效
    include /rewrite/101.132.46.3.conf;
    #REWRITE-END
    
    #禁止访问的文件或目录
    location ~ ^/(\.user.ini|\.htaccess|\.git|\.svn|\.project|LICENSE|README.md)
    {
        return 404;
    }
    
    #一键申请SSL证书验证目录相关设置
    location ~ \.well-known{
        allow all;
    }
    
    location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$
    {
        expires      30d;
        error_log off;
        access_log off;
    }
    
    location ~ .*\.(js|css)?$
    {
        expires      12h;
        error_log off;
        access_log off; 
    }
    access_log  /ssd09/wwwlogs/101.132.46.3.log;
    error_log  /ssd09/wwwlogs/101.132.46.3.error.log;
}

tianyu

londry 您好，感谢您提供的示例。我尝试了下删除其他 host 只留下一个 ip host 配置是没有问题的，但是如果增加一个域名 host 配置就会出现问题，通过 IP 访问后浏览器拿到的是域名的证书而没有匹配到 ip 的 server_name。

ip host 配置 /etc/nginx/sites-enabled/ip

server
{
    listen 80;
    listen 443 ssl http2;
    server_name 101.132.46.3;
    index index.php index.html index.htm default.php default.htm default.html;
    root /ssd09/wwwroot/101.132.46.3;
    ssl_certificate    /etc/encryption365/live/101.132.46.3/fullchain.pem;
    ssl_certificate_key    /etc/encryption365/live/101.132.46.3/privkey.pem;

example.com 的配置 /etc/nginx/sites-enabled/example

server
{
    listen 80;
    listen 443 ssl http2;
    server_name example.com;
    index index.php index.html index.htm default.php default.htm default.html;
    root /ssd09/wwwroot/example.com;
    ssl_certificate    /etc/encryption365/live/example.com/fullchain.pem;
    ssl_certificate_key    /etc/encryption365/live/example.com/privkey.pem;

londry

tianyu 看起来您的Nginx在443端口上覆盖了排序靠前的证书，您尝试将域名证书更换 8443端口，让后测试访问下，看是否能确定是SNI扩展问题。

londry

tianyu
尝试一下将域名站点的配置文件修改为

server
{
    listen 80;
    listen 8443 ssl http2; # change 443 to 8443
    server_name example.com;
    index index.php index.html index.htm default.php default.htm default.html;
    root /ssd09/wwwroot/example.com;
    ssl_certificate    /etc/encryption365/live/example.com/fullchain.pem;
    ssl_certificate_key    /etc/encryption365/live/example.com/privkey.pem;

确保防火墙打开了8443，进行访问看看？

tianyu

londry 调整域名端口到 8443 后 443 就只有 ip 的证书了，这个时候通过 ip 访问获取到的证书是没有问题的。除非给 ip host 配置里加 listen 443 ssl http2 default;，否则获取到的证书是匹配不到 IP HOST 这个配置的。

londry

tianyu
进入服务器命令行执行

2>&1 nginx -V | tr ' '  '\n'

返回结果粘贴上来

tianyu

londry version:

nginx/1.15.0
built
with
OpenSSL
1.1.0h

27
Mar
2018
TLS
SNI
support
enabled
configure
arguments:
--prefix=/etc/nginx
--conf-path=/etc/nginx/nginx.conf
--sbin-path=/usr/bin/nginx
--pid-path=/run/nginx.pid
--lock-path=/run/lock/nginx.lock
--user=http
--group=http
--http-log-path=/var/log/nginx/access.log
--error-log-path=stderr
--http-client-body-temp-path=/var/lib/nginx/client-body
--http-proxy-temp-path=/var/lib/nginx/proxy
--http-fastcgi-temp-path=/var/lib/nginx/fastcgi
--http-scgi-temp-path=/var/lib/nginx/scgi
--http-uwsgi-temp-path=/var/lib/nginx/uwsgi
--with-cc-opt='-march=x86-64
-mtune=generic
-O2
-pipe
-fstack-protector-strong
-fno-plt
-D_FORTIFY_SOURCE=2'
--with-ld-opt=-Wl,-O1,--sort-common,--as-needed,-z,relro,-z,now
--with-compat
--with-debug
--with-file-aio
--with-http_addition_module
--with-http_auth_request_module
--with-http_dav_module
--with-http_degradation_module
--with-http_flv_module
--with-http_geoip_module
--with-http_gunzip_module
--with-http_gzip_static_module
--with-http_mp4_module
--with-http_realip_module
--with-http_secure_link_module
--with-http_slice_module
--with-http_ssl_module
--with-http_stub_status_module
--with-http_sub_module
--with-http_v2_module
--with-mail
--with-mail_ssl_module
--with-pcre-jit
--with-stream
--with-stream_geoip_module
--with-stream_realip_module
--with-stream_ssl_module
--with-stream_ssl_preread_module
--with-threads

londry

tianyu TLS SNI 没有问题，尝试下修改2个配置文件

ssl_certificate    /etc/encryption365/live/101.132.46.3/fullchain.pem;

为

ssl on;
ssl_certificate    /etc/encryption365/live/101.132.46.3/fullchain.pem;

重启Nginx后在测试。

tianyu

londry 增加 ssl on; 配置后重启 nginx 服务测试仍然无效，另外 nginx -t 的输出里推荐使用 listen 443 ssl http2;这样的方式。

londry

tianyu 根据你提供的信息，我无法找到其他的问题。您可以尝试检查：
配置后在服务器内部访问测试SSL证书是否正确？
使用Chrome浏览器访问站点进行测试？
服务器是否存在多个web引擎，比如2个Nginx ，实际使用的和命令行查找到的不是同一个？
服务器到终端出口中间有没有其他防火墙或者Proxy?
或者是其他Nginx问题，但看起来你的Nginx确实没毛病。