老师，用nginx做代理，连接上游服务器（公网的服务器），上游服务器要nginx使用证书，添加了proxy_ssl_certificate后，仍然报错，SSL: error:14094412:SSL routines:ssl3_read_bytes:sslv3 alert bad certificate:SSL alert number 42。用openssl生成的证书可以和公网的服务器通信吗？

作者回复: 可以。服务器的证书，是由浏览器内置的根证书鉴权的。你用NGINX连接上游并且传递证书，这意味着客户端证书，此时是需要上游服务验证证书的，通常，是由同一个根证书颁发的，才行。如果是openssl自签名的根证书，必须配置到上游服务才行。

2021-03-10

2



MrYang

老师您好：我在使用双向认证的时候，遇到下面这个报错，请问大概是哪里出了问题？ [info] 11239#0: *14731 client SSL certificate verify error: (27:certificate not trusted) while reading client request headers, client:

作者回复: 猜测可能是client的证书，不是nginx.conf指定的证书签发的。

2019-04-22





Panda

生产环境一般在 VPC 内网中不用双向证书 😜

2019-02-02



1

羁绊12221

老师，请教个问题，nginx开启了SSL，直接访问index.html 显示是安全连接，但是用chrome下载同一个server下的静态资源就变成了not secure。请问可能是什么原因？截图见链接： https://www.wolai.com/wFapBKSE4E9hcrVqoDhABM 十分感谢~~~

2024-01-22





乘风破浪

实践中发现2个问题： 1. ssl_cures第二次访问取不到值？而第一次可以，不知道是否是正常的，还是有什么问题？ ssl_curves: X25519:prime256v1:X448:secp521r1:secp384r1 2. 另外发现，不能使能TLS1.3,如果使用直接报502错误，而TLS1.2是正常的。看了log似乎也没有记录。难道要去抓包？单测上游服务器1.3是正常的 curl https://test/test --insecure ssl_protocol: TLSv1.3 [root@test01 ~]# curl test/test <html> <head><title>502 Bad Gateway</title></head> <body> <center><h1>502 Bad Gateway</h1></center> <hr><center>openresty/1.19.3.1</center> </body> </html> 实验环境，虚拟机起了一个nginx 1.20当做web服务器，openrestry1.19当做反向代理配置如下： nginx配置： server { ssl_protocols TLSv1.3; #开tls1.3 listen 443 ssl; #正常启用ssl,侦听443端口 server_name test test1; charset utf-8; ssl_certificate a.crt; #证书 ssl_certificate_key a.key; #私钥 ssl_verify_client optional;#验证客户端身份，可选，即客户端传了证书才验证 ssl_client_certificate ca.crt;#客户端证书对应的CA证书，即客户端是这个CA签发的 location /test { return 200 ' #这里配置和课程一样，字数太多提交不了，就删除了 '; } } openrestry 配置 server { ssl_protocols TLSv1.3; server_name test; default_type text/plain; error_log myerror.log debug; error_page 500 /50x.html; location /test { proxy_ssl_name a; proxy_ssl_verify_depth 4; proxy_ssl_certificate b.crt; proxy_ssl_certificate_key b.key; proxy_ssl_server_name on; proxy_pass https://test; } } 请陶大师百忙中答疑解惑，谢谢！

2021-06-14





收起评论