Почему NGINX использует сертификат и ключ первого хоста?

Question

[Антон Артёмов]

Настроил 2 конфига NGINX для https соединения.
Вот конфиг domen1 nginx ssl config
Второй аналогичный.

Так вот и для domen1 и для domen2 nginx использует сертификат от domen1
Если я переименовываю конфиг domen2, так что бы он был выше конфига domen1, то для обоих доменов используется сертификат от domen2.

Что я не так сделал? Ведь в каждом конфиге указан свой server_name.

Answer 1

[Samuel_Leonardo]

Нужно, что nginx был собран с SNI
узнать можно так :
nginx -V
должно выдасть
TLS SNI support enabled
также openssl должен быть собран с enable-tlsext,

либо используйте разные ip для каждого домена

Comments

[Игорь]

Все верно.
Во-первых надо nginx c поддержкой SNI;
вo-вторых надо браузеры с поддержкой SNI.
Про совместимость и т.п. почитайте в официальной документации NGINX (по ссылке ближе к концу статьи):
nginx.org/ru/docs/http/configuring_https_servers.html

[Иван Киселев]

Все правильно, только вчера эту ситуацию на работе обсуждали.

[Антон Артёмов]

Почитал... Всё таки трудоемко ребилдить nginx на CentOS 5 с кучей проектов... По крайней мере для меня.

[Samuel_Leonardo]

ArtyomovAnton:
попробуйте этот вариант: https://plone.lucidsolutions.co.nz/web/reverseprox...

[Антон Артёмов]

Samuel_Leonardo: Спасибо, он был просмотрен одним из первых. Я думаю, что пока временно некоторые проекты поживут без https, а потом либо IP адресов возьмем, либо будем ждать приват облако от селектела и там уже есть свежие дистрибутивы CentOS

Answer 2

[Сергей Петриков]

Покажите оба конфига, nginx абсолютно нормально обрабатывает ситуацию разные сертификаты для разных доменов, в общем случае настраивается так:

server {
    listen              443 ssl;
server_name domain1;
        ssl                     on;
        ssl_certificate         /etc/nginx/ssl/domain1.crt;
        ssl_certificate_key     /etc/nginx/ssl/domain1.key;
}
server {
    listen              443 ssl;
        server_name domain2;
        ssl                     on;
        ssl_certificate         /etc/nginx/ssl/domain2.crt;
        ssl_certificate_key     /etc/nginx/ssl/domain2.key;
}
server {
        listen          80;
        server_name_in_redirect     off;
        server_name ~^(?:www\.)?(?P<host_wo_www>.+)$;
        return 301 https://$host_wo_www$request_uri;
}

Для каждого домена свой сертификат на 443 порту и общая редиректилка с 80 порта на 443.

Answer 3

[Антон Артёмов]

У меня TLS SNI support disabled