Почему вываливается предупреждение nginx: [warn] «ssl_stapling»?

Question

[Станислав]

Перенес данные на другой сервер, старый сертификат временно сохранил в директории nginx, с ним все хорошо и никаких предупреждений не вываливается, он пока что действует.
Теперь решил создать новый сертификат, чтобы по крону уже все само обновлялось.
Установил certbot, получил сертификаты для домена и поддоменов, прописал УЖЕ правильные пути в конфиге nginx на сертификат от letsencrypt и nginx -t выплевывает предупреждение

nginx: [warn] "ssl_stapling" ignored, no OCSP responder URL in the certificate "/etc/letsencrypt/live/domain.ru/fullchain.pem"

Не знаю влияет ли на это то что, был косяк в следующем, забыл сгенерировать dhparams.pem на новом сервере, а он был указан от старого сервера.
Вспомнив это, сгенеририровал новый dhparams.pem

openssl dhparam -out /etc/nginx/ssl/dhparams.pem 4096

Удалил сертификаты, и вновь сгенерировал их с новым dhparams, nginx -t опять так же выплевывает предупреждение.

ПС. конфиг nginx абсолютно такой же что и был на прошлом сервере. К слову такая же конфигурация nginx у другого хостера работает и никаких предупреждений не вываливается.

В чем может быть проблема?

В конфиге следующее

sl_session_timeout 1d;
    ssl_session_cache shared:MozSSL:10m;
    ssl_session_tickets off;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3; # Dropping SSLv3, ref: POODLE
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
    # OCSP stapling
    ssl_stapling on;
    ssl_stapling_verify on;

    ssl_dhparam /etc/nginx/ssl/dhparam.pem;

    ssl_certificate /etc/letsencrypt/live/domain.ru/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/domain.ru/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/domain.ru/chain.pem;


    resolver 127.0.0.1 8.8.8.8 valid=300s;
    resolver_timeout 10s;

Answer 1

[ky0]

Попробуйте resolver добавить.

А, ну и OCSP стал deprecated:

May 7, 2025

Prior to this date we will have added CRL URLs to certificates
On this date we will drop OCSP URLs from certificates
On this date all requests including the OCSP Must Staple extension will fail

https://letsencrypt.org/2024/12/05/ending-ocsp/

Comments

[Станислав]

Он добавлен, забыл его в топик добавить

resolver 127.0.0.1 8.8.8.8 valid=300s;
    resolver_timeout 10s;

[ky0]

Станислав, обновил ответ.

[Станислав]

И чего делать теперь? =)
ssl_stapling в off перевести?
Какие последствия от этого действия ожидать?

[Станислав]

А я уже весь инет перерыл в чем проблема, оказывается не там искал))

[Довольный Айтишникъ]

Станислав,

no OCSP responder URL in the certificate

нет в вашем сертификате нужных данных, поэтому отключить и забыть.