Как исправить ошибку ssl_error_internal_error_alert при использовании CloudFlare?

Question

[Сергей Краснопивец]

Коллеги, день добрый!

На домашнем сервере установлен OwnCloud, который доступен снаружи. Работает на nginx+php-fpm. Есть собственный домен, по которому OwnCloud доступен извне. Домен делегирован на NS CloudFlare (подключал ради бесплатного SSL от CF). До вчерашнего дня все работало без каких-либо проблем, сейчас же при попытке открыть веб-морду OwnCloud Firefox, Chrome выдает ошибку вида:

При соединении с xxxx.xxxx.ru произошла ошибка. Узел сообщает, что у него произошла внутренняя ошибка. (Код ошибки: ssl_error_internal_error_alert)

Со стороны Cloudflare режим SSL выставлен в Full, со стороны сервера созданы самоподписанные сертификаты. Настроек никаких не менялось с сентября 2014. Внутри локальной сети открывается без проблем.

Может кто сталкивался, в какую сторону копать? Гугл ничего внятного мне не ответил, к сожалению, так же как и блог саппорта Cloudflare.

Comments

[Константин Самилко]

Что пишет в логах nginx? до него вообще подключение дошло?

[Сергей Краснопивец]

kuroneco: К сожалению, в логах чисто - ни одной попытки со стороны серверов CF получить какой-либо контент с сервера нет. То есть запросы даже не доходят до моего адреса. Поэтому, собственно, и решил спросить здесь.

[Константин Самилко]

Сергей Краснопивец:
Перечитал еще раз, и вот мне кое что не понятно:
Со стороны Cloudflare режим SSL выставлен в Full, со стороны сервера созданы самоподписанные сертификаты.
При этом, вы говорите о:
Домен делегирован на NS CloudFlare (подключал ради бесплатного SSL от CF)

Я вижу некое не соответствие.
Если вам CF, выпустил сертификат, то зачем самоподписка?
И причем тут, некий режим "FULL" для ssl, со стороны CF?
Вам просто дают сертификат на ваш домен, подписанный корневым сертификатом CF или одним из цепочки.
Вы этот публичный сертификат прикручиваете в nginx и слушаете 443 порт.
При обращении на домен, NS отдает ip. Больше нигде CF вообще не учавствует.

Внутри локальной сети открывается без проблем. - вы по ip заходите или в hosts прописали имя или как?
Так что, проясните немного ситуацию.

Еще, просто из классических процедур:
1. Проверьте, что NS выдает на ваш домен верный ip.
2. Откройте консоль и с помощью tcpdump послушайте 80й порт, на предмет пакетов, При этом открыв в браузере анонимайзер и сделайте попытку зайти по http(80й порт) на ваш сайт (облачко).
3. Проделайте тоже самое для 443 порта.
4. Если пакеты летят только в одну сторону (приходят к вам, но не уходят обратно), может поменялись настройки фаервола (пальцем в небо, так как вы получаете, типа ошибку).

[Сергей Краснопивец]

Константин Самилко: Если вам CF, выпустил сертификат, то зачем самоподписка?

СF не выпускает сертификатов на домен, у меня бесплатный план. При привязке домена, они просто используют Shared сертификат, который выдан Comodo.

И причем тут, некий режим "FULL" для ssl, со стороны CF?

У CF есть три режима: Full SSL, Full SSL (Strict), Flexible. Первый обеспечивает шифрование трафика от клиента до CF, затем от CF до сервера - на втором этапе используется как раз самоподписанный сертификат на стороне вашего сервера. Второй режим от первого отличается только тем, что требуется валидный сертификат на стороне сервера, подписанный любым из Trusted CA. Flexible - трафик шифруется от клиента до серверов CF, от серверов CF до вашего сервера шифрование не используется.

1. Проверьте, что NS выдает на ваш домен верный ip. - само собой проверено.
2. При чем тут 80 порт? Мы говорим о SSL. C 80 порта сервер сразу перекидывает на 443.
4. Пакеты в принципе до меня не доходят, предложенный Вами способ диагностики уже пробовал. Настройки какого firewall'a поменялись? "Настроек никаких не менялось с сентября 2014."

[Константин Самилко]

Сергей Краснопивец: По 80му порту, это на автомате написал.
Если оно так работает, что CF по сути является неким буффером (прокси) для соединений - выключите его и не используйте. Так как тут проблему диагностировать не получится - проблема на стороне CF.
Если у вас и так уже есть самоподписный сертификат на сервере, то он будет шифровать соединение между вашим сервером и клиентом.
В общем, мое мнение - не используйте 3е лицо CF как посредника между клиентом и сервером.
Если вам нужен бесплатный сертифкат на домен, посмотрите в сторону wosign или startssl , которые дадут вам сертификат бесплатно. 1й на 3 года, второй на год.