С какими проблемами можно столкнутся при попытке в nginx настроить на работу с 5000 доменами?

Question

[Виктор]

С какими проблемами можно столкнутся при попытке в nginx настроить для работы с 1500 - 5000 субдоменами одного домена по hhtps/http

Хочу с экономить на покупке wildcard сертификата но при этом нуждаюсь в том чтобы выдавать каждому пользователю сайта поддомен доступный по https.
Под домены вида u1.site.ru ... u2.site.ru ... u4999.site.ru

Хочу для получения сертификатов использовать Let's Encrypt но меня немного настораживает необходимость создания гигантских размеров конфига для nginx. При этом nginx работает как реверс-прокси и вся его задача заключается в расшифровки трафика и передаче его на другой порт этого же сервера.

Answer 1

[pomeo]

С Let's Encrypt у вас ничего не получится. Там можно создавать с одного сервера 7 сертификатов в неделю, а для одного домена 5 в неделю. Т.е. за 3 месяца вы для поддоменов максимум сможете ~60 сертификатов получить

Comments

[Алексей С.]

на каждый сертификат можно повесить 100 поддоменов, так что .... за неделю 500 штук

[pomeo]

Алексей С.: это как вы на сертификат повесите 100 поддоменов?

[Алексей С.]

Sergey Ovechkin:
вот так:
через пробел перебираете все нужные домены (до 100 штук)
на выходе получаете один сертификат под все, типа такого:

root@:/etc/letsencrypt/archive/u1.winsik.com# openssl x509 -in cert1.pem -noout -text
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            01:50:13:ad:e9:b1:3b:bd:81:a7:29:38:c3:30:b2:57:5f:d8
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X1
        Validity
            Not Before: Mar 15 10:44:00 2016 GMT
            Not After : Jun 13 10:44:00 2016 GMT
        Subject: CN=u1.winsik.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:d8:6b:a6:28:e0:e9:01:41:91:d9:b4:08:f4:46:
                    02:d1:65:af:42:4f:c6:83:bb:cd:c8:2e:83:63:1b:
                    7e:53:b7:09:57:81:02:0c:82:e7:bd:e8:1f:cb:2d:
                    9d:2f:a0:c0:f5:92:c4:6d:00:eb:e5:9b:e4:53:73:
                    e6:d1:23:32:b9:0b:07:a8:35:57:31:03:b4:9b:ac:
                    ba:7a:ff:4d:94:0a:22:5b:38:a8:a6:dc:22:a8:8e:
                    6e:45:49:f5:33:12:79:5c:33:1f:15:c5:19:76:27:
                    91:57:cb:58:ff:b0:68:d0:2f:dc:b2:6c:34:6e:21:
                    6a:0e:73:e7:4f:9f:de:34:cc:e6:cc:93:9c:c0:ab:
                    b6:75:ae:06:98:68:ae:af:d1:57:af:cf:27:e6:98:
                    6a:80:d1:c1:b3:d0:a3:b0:26:ef:fe:3d:eb:e9:4a:
                    d1:60:8f:eb:aa:e1:bd:36:a8:de:16:07:09:e0:2b:
                    69:27:28:e5:47:53:39:98:f7:2c:13:6f:da:fd:57:
                    76:2e:44:bf:20:b4:8a:f5:2f:76:71:58:5e:2c:f4:
                    46:e9:8c:3f:4e:cd:02:bd:39:5e:a6:ae:89:cc:09:
                    5e:ed:10:7f:fd:72:98:db:8a:7d:d8:6a:77:6b:c7:
                    13:ef:71:d3:f2:6f:95:8b:7c:3a:25:e2:c2:3c:cc:
                    65:ad
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage: 
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Subject Key Identifier: 
                EB:C2:2D:64:83:35:4A:B3:38:A3:03:3D:52:10:F1:C8:B9:A3:47:3D
            X509v3 Authority Key Identifier: 
                keyid:A8:4A:6A:63:04:7D:DD:BA:E6:D1:39:B7:A6:45:65:EF:F3:A8:EC:A1

            Authority Information Access: 
                OCSP - URI:http://ocsp.int-x1.letsencrypt.org/
                CA Issuers - URI:http://cert.int-x1.letsencrypt.org/

            X509v3 Subject Alternative Name: 
                DNS:u1.winsik.com, DNS:u2.winsik.com, DNS:u3.winsik.com, DNS:u5.winsik.com, DNS:u6.winsik.com, DNS:u7.winsik.com, DNS:u8.winsik.com, DNS:u9.winsik.com, DNS:u99.winsik.com
            X509v3 Certificate Policies: 
                Policy: 2.23.140.1.2.1
                Policy: 1.3.6.1.4.1.44947.1.1.1
                  CPS: http://cps.letsencrypt.org
                  User Notice:
                    Explicit Text: This Certificate may only be relied upon by Relying Parties and only in accordance with the Certificate Policy found at https://letsencrypt.org/repository/

    Signature Algorithm: sha256WithRSAEncryption
         40:bc:87:a6:90:0f:b3:6c:03:b1:ea:2d:64:9a:b9:e1:5d:f6:
         fa:0b:77:e1:74:58:df:b1:1f:b5:c8:ab:23:64:a2:82:10:bc:
         61:b7:72:c6:a5:b9:24:33:37:b8:d2:b1:0c:f0:b1:40:62:df:
         0f:49:f0:18:05:39:34:b0:3a:2d:2a:f5:b1:27:91:45:df:e7:
         ed:8f:c9:f9:0e:f0:c8:91:7e:bb:69:89:7a:c3:1b:23:40:20:
         c9:00:0e:44:bf:8b:a2:32:91:f2:6a:c3:c5:63:dc:28:d7:8d:
         b7:66:70:fa:f6:38:75:09:43:c8:6d:2f:2a:18:30:c9:46:65:
         00:05:11:d4:3c:30:33:37:6d:b1:11:d1:de:84:94:6d:cf:36:
         75:e7:07:f7:04:8b:ab:b4:87:8b:12:83:1f:fb:db:8f:6d:e0:
         92:a4:4c:38:59:e8:f4:88:b4:62:55:94:ae:cb:10:ff:48:57:
         b6:82:23:a6:7d:5f:80:80:c4:9e:d1:19:e2:52:e4:0a:e7:22:
         81:43:32:d6:79:18:35:b5:d1:35:92:93:77:93:17:2f:18:b0:
         d4:bb:8f:53:b7:6c:96:f6:1d:88:63:10:5d:20:1c:94:0f:0f:
         3c:5f:78:61:7f:d9:f9:4a:22:15:9e:45:c1:8b:d3:ea:b8:f8:
         3b:1b:bb:88

[pomeo]

Алексей С.: и правда работает, только через пробел не захотел пришлось -d domain1.com -d domain2.com. Тогда ещё вопрос, а как ему сказать куда сохранять, сейчас он сохранил *.pem файлы в папку домена из середины списка

[Алексей С.]

Sergey Ovechkin: у меня сохраняет в первый по списку, я запрос вот так делаю на сертификаты:

./letsencrypt-auto --agree-dev-preview --server \https://acme-v01.api.letsencrypt.org/directory -a manual auth

Появляется текстовое окно со строкой ввода списка доменов

[pomeo]

Алексей С.: у меня так letsencrypt-auto certonly --renew-by-default --webroot -w /dir/.lets -d domain1.com -d domain2.com

[Алексей С.]

Sergey Ovechkin: а попробуйте -d domain1.com;domain2.com;domain999.com

[pomeo]

Алексей С.: так он делает запрос только для первого, следующий игнорирует

[Алексей С.]

Sergey Ovechkin: дальше тогда я не подсказчик =) в таком кол-ве мне сертификаты не требовались =)))

Answer 2

[Dimonchik]

publications.jbfavre.org/web/nginx-vhosts-automati...