Freeswitch, как установить сертификаты из nginx для wss?

Question

[z0rgoyok]

Использую сертификаты для nginx - 2 файла:
ssl_certificate /etc/nginx/cert/nginx.crt;
ssl_certificate_key /etc/nginx/cert/ssl.key;

как установить их в freeswitch для поддержки wss?

Answer 1

[Владимир]

важны имена файлов
в agent.pem складываете содержимое nginx.crt и ssl.key в PKI
в cafile.pem CA центра сертификации (по моему можно и без этого обойтись)

ADD:
*не PKI, а PEM

Comments

[z0rgoyok]

скажите, пожалуйста, что такое в PKI?

[z0rgoyok]

так, слил cat'ом два файла, порт 7443 открылся, но при попытке соединения "failed: WebSocket opening handshake was canceled"

[Владимир]

cafile.pem заполнен?

[z0rgoyok]

Владимир: пока нет, попробую

[z0rgoyok]

Владимир: в nginx.crt он тоже вроде бы есть

[Владимир]

вот его оттуда выковорить и в cafile.pem

[z0rgoyok]

Владимир: убрал, проверяю так openssl verify -CAfile /usr/local/freeswitch/conf/ssl/cafile.pem /usr/local/freeswitch/conf/ssl/agent.pem
/usr/local/freeswitch/conf/ssl/agent.pem: OK

[z0rgoyok]

Владимир: WebSocket opening handshake was canceled

[z0rgoyok]

Владимир: cafile.pem есть

[Владимир]

что в выхлопе
openssl s_client -connect fs-host.name:7443
?

[z0rgoyok]

Владимир: у меня фс стартует ровно 11 минут после рибута (с -nonat), скоро проверю)

[z0rgoyok]

Владимир:
± % openssl s_client -connect voip.autowayapp.com:7443 !10760
CONNECTED(00000003)
depth=0 /C=US/CN=FreeSWITCH
verify error:num=18:self signed certificate
verify return:1
depth=0 /C=US/CN=FreeSWITCH
verify return:1
---
Certificate chain
0 s:/C=US/CN=FreeSWITCH
i:/C=US/CN=FreeSWITCH
---
Server certificate
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
subject=/C=US/CN=FreeSWITCH
issuer=/C=US/CN=FreeSWITCH
---
No client certificate CA names sent
---
SSL handshake has read 615 bytes and written 328 bytes
---
New, TLSv1/SSLv3, Cipher is AES256-SHA
Server public key is 1024 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1
Cipher : AES256-SHA
Session-ID: 34E948C3F40551B9348DB4B7E229C3DA24C18ECB5E632CC8124383B3F525381A
Session-ID-ctx:
Master-Key: A66C440B416C45122B1A0FF451513FF83A3D2AF25E61D3B6568D96E7AC070036F1E1F0381DC71556B26FF8899372FC7E
Key-Arg : None
Start Time: 1427270678
Timeout : 300 (sec)
Verify return code: 18 (self signed certificate)
---
HTTP/1.1 400 Bad Request
Sec-WebSocket-Version: 13

read:errno=0

[Владимир]

CN=voip.autowayapp.com
или
CN=*.autowayapp.com

[z0rgoyok]

Владимир: первый, я вот смотрю в выводе совсем не тот сертификат, что в agent.pem

[Владимир]

нужно положить туда куда указывает параметр
tls-cert-dir
например
<param name="tls-cert-dir" value="/usr/local/freeswitch/certs"/&gt:

[z0rgoyok]

internal.xml fusionpbx

[z0rgoyok]

z0rgoyok: < param name="tls-cert-dir" value="$${internal_ssl_dir}" />

[Владимир]

fs_cli -x "global_getvar" | grep internal_ssl_dir

[Владимир]

кажиcь ввел в заблуждение и вы заодно сделали для sip-tls
для wss файл должен называться wss.pem
https://freeswitch.org/confluence/display/FREESWIT...

[z0rgoyok]

Владимир: путь правильный. сделал wss.pem на запуске пока висит:
2015-03-25 11:25:41.862650 [DEBUG] switch_scheduler.c:249 Added task 1 zrtp_cache_save (core) to run at 1427272841
2015-03-25 11:25:41.868494 [DEBUG] switch_scheduler.c:249 Added task 2 heartbeat (core) to run at 1427271941
2015-03-25 11:25:41.868662 [DEBUG] switch_scheduler.c:249 Added task 3 check_ip (core) to run at 1427271941

[Владимир]

содержимое wss.pem
Cert, Key and Chain(s) are all contained in a single file in this order:

-----BEGIN CERTIFICATE-----
<cert>
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
<key>
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
<chain>
-----END CERTIFICATE-----

[z0rgoyok]

Владимир: оно само создает tls.pem - это норма?

[Владимир]

да, это нормально

[z0rgoyok]

Владимир: спасибо, вроде получилось.