OCSP Stapling в Nginx ведет себя странно, как с этим разобраться?

Question

[Тёма Макеев]

Настроил OCSP Stapling в nginx, но он не работает до тех пор, пока я не сделаю sudo nginx -s reload
Сам nginx запускается по сервису в systemd, но чтобы заработало не помогает ни sudo systemctl restart nginx, ни перезагрузка, только reload

uname -a

Linux kubog.ru 4.4.1-2-ARCH #1 SMP PREEMPT Wed Feb 3 13:12:33 UTC 2016 x86_64 GNU/Linux

nginx -V

nginx version: nginx/1.9.10
built with OpenSSL 1.0.2e 3 Dec 2015 (running with OpenSSL 1.0.2f  28 Jan 2016)
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --conf-path=/etc/nginx/nginx.conf --sbin-path=/usr/bin/nginx --pid-path=/run/nginx.pid --lock-path=/run/lock/nginx.lock --user=http --group=http --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --http-client-body-temp-path=/var/lib/nginx/client-body --http-proxy-temp-path=/var/lib/nginx/proxy --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-ipv6 --with-pcre-jit --with-file-aio --with-http_gunzip_module --with-http_gzip_static_module --with-http_realip_module --with-http_v2_module --with-http_ssl_module --with-http_stub_status_module --with-http_addition_module --with-http_degradation_module --with-http_mp4_module --with-http_secure_link_module --with-http_sub_module --with-threads --with-stream --with-stream_ssl_module --with-cc-opt='-pipe -fomit-frame-pointer -march=native -mtune=native' --add-module=../nginx-length-hiding-filter-module --add-module=../ngx_cache_purge

Кусок конфига

listen 443 ssl http2 default_server;
	ssl on;
	ssl_certificate /etc/nginx/ssl/kubog/kubog.crt;
	ssl_certificate_key /etc/nginx/ssl/kubog/kubog.key;
	ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
	ssl_ciphers 'kEECDH+ECDSA+AES128 kEECDH+ECDSA+AES256 kEECDH+AES128 kEECDH+AES256 kEDH+AES128 kEDH+AES256 DES-CBC3-SHA +SHA !aNULL !eNULL !LOW !kECDH !DSS !MD5 !EXP !PSK !SRP !CAMELLIA !SEED';
	ssl_prefer_server_ciphers on;
	ssl_dhparam /etc/nginx/ssl/kubog/dh.pem;
	ssl_session_cache shared:KUBOGSSL:16m;
	ssl_session_timeout 60m;
	ssl_stapling on;
	ssl_stapling_verify on;
	ssl_trusted_certificate /etc/nginx/ssl/kubog/fullchain.pem;
	resolver 8.8.8.8 valid=300s;
	resolver_timeout 5s;
	server_tokens off;
	add_header Strict-Transport-Security "max-age=15552000";

в fullchain.pem у меня сначала промежуточный, потом корневой сертификаты, в kubog.crt у меня мой сертификат плюс промежуточный. остальное вроде всё понятно

Совершенно не понимаю, что происходит. Помогите пожалуйста

Answer 1

[pomeo]

Не касается вашего вопроса, но очень близко. На убунте с 1.9.10 заметил следующее, service nginx start/stop/restart/reload работают не адекватно или вообще не работают. Приходится руками /etc/init.d/nginx restart/reload делать. Ветка 1.9.x не стабильная, так что в принципе это нормально.

Comments

[Тёма Макеев]

Ну не знаю, насколько dev ветку можно считать нестабильной). Тысячи людей её в продакшене на серьезных проектах гоняют и всё хорошо.

[pomeo]

Тёма Макеев: настолько, что 1.8 называется stable

[Тёма Макеев]

Sergey Ovechkin: Цитирую офф. сайт)

"Note that stable does not mean more reliable or more bug-free. In fact, the mainline is generally regarded as more reliable because we port all bug fixes to it, and not just critical fixes as for the stable branch."

"We recommend that in general you deploy the NGINX mainline branch at all times."