При редиректе с HTTP на HTTPS возникает ошибка, в чем дело??

Question

[obvilion]

Добрый вечер.
Столкнулся с проблемой: надо сделать редирект с http на https, сделал следующим методом:

listen 80;
server_name *.universal-chat.net;
return 301 $server_name$request_uri;

Имеется домен universal-chat.net и api.universal-chat.net
Редирект с universal-chat.net на https://universal-chat.net проходит нормально.
А редирект api.universal-chat.net на https://api.universal-chat.net происходит с костылями.
Результат редиректа: api.universal-chat.net/api.universal-chat.net/api....
В чем может быть дело?
Весь конфиг:

user www-data;
worker_processes 4;

error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;

worker_rlimit_nofile 150000;

events {
    worker_connections 8000;
    multi_accept on;
    use epoll;
}

http {
    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    log_format main '$remote_addr — $remote_user [$time_local] "$request" '
        '$status $body_bytes_sent "$http_referer" '
        '"$http_user_agent" "$http_x_forwarded_for"';

    access_log /var/log/nginx/access.log main;

    gzip off;
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    reset_timedout_connection on;
    client_body_buffer_size 128k;

    server {
        listen 80;
        server_name 127.0.0.1;
        root /var/www/html;
        index index.html index.php;

        location ~* \.php$ {
            try_files $uri = 404;
            fastcgi_split_path_info ^(.+\.php)(/.+)$;
            fastcgi_pass unix:/var/run/php/php7.0-fpm.sock;
            fastcgi_send_timeout 180s;
            fastcgi_read_timeout 180s;
            fastcgi_index index.php;
            fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
            include fastcgi_params;
        }
    }
    server {
        listen 80;
        server_name universal-chat.net *.universal-chat.net;
        return 301 https://$host$request_uri;
    }
    server {
        listen 443 ssl;
        server_name universal-chat.net www.universal-chat.net;
        root /var/www/html/universal_chat;
        index index.html index.php;

        ssl_protocols TLSv1.1 TLSv1.2;
        ssl_certificate "/etc/letsencrypt/live/universal-chat.net/cert.pem";
        ssl_certificate_key "/etc/letsencrypt/live/universal-chat.net/privkey.pem";

        location ~* \.php$ {
            try_files $uri = 404;
            fastcgi_split_path_info ^(.+\.php)(/.+)$;
            fastcgi_pass unix:/var/run/php/php7.1-fpm.sock;
            fastcgi_send_timeout 180s;
            fastcgi_read_timeout 180s;
            fastcgi_index index.php;
            fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
            include fastcgi_params;
        }
        location /api/ {
            deny all;
        }
    }
    server {
        listen 443 ssl;
        server_name api.universal-chat.net;
        root /var/www/html/universal_chat/api;
        index index.php;

        ssl_protocols TLSv1.1 TLSv1.2;
        ssl_certificate "/etc/letsencrypt/live/api.universal-chat.net/cert.pem";
        ssl_certificate_key "/etc/letsencrypt/live/api.universal-chat.net/privkey.pem";

        location ~* \.php$ {
            try_files $uri = 404;
            fastcgi_split_path_info ^(.+\.php)(/.+)$;
            fastcgi_pass unix:/var/run/php/php7.1-fpm.sock;
            fastcgi_send_timeout 180s;
            fastcgi_read_timeout 180s;
            fastcgi_index index.php;
            fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
            include fastcgi_params;
        }
        location ~* ^(methods|includes) {
            deny all;
        }
    }
}

Answer 1

[Михаил Григорьев]

1. Кусок

server {
        listen 80;
        server_name universal-chat.net *.universal-chat.net;
        return 301 https://$host$request_uri;
}

Замените на 2 блока, так будет правильнее и тогда:

server {
        listen 80;
        server_name universal-chat.net www.universal-chat.net;
        return 301 https://universal-chat.net$request_uri;
}
server {
        listen 80;
        server_name api.universal-chat.net;
        return 301 https://api.universal-chat.net$request_uri;
}

Читаем статью для просвещения.

2. Рекомендую поменять еще некоторые дерективы:

worker_processes 4;
на
worker_processes auto;

Добавить
worker_cpu_affinity auto;
worker_shutdown_timeout 30;

30 замените на ваше желаемое число, см офф. документация

Добавить в секцию http директиву:
server_tokens off;

Если у Вас используется
sendfile on;
то разумно выставить
sendfile_max_chunk 128k;
Она ограничивает объём данных, который может передан за один вызов sendfile(). Нужно для исключения ситуации когда одно соединение может целиком захватить воркер.

По желанию добавить в секцию http:
keepalive_timeout 60s;
keepalive_requests 500;
client_body_timeout 30s;
client_max_body_size 256m;
send_timeout 30s;
types_hash_max_size 2048;
server_names_hash_max_size 8192;
server_names_hash_bucket_size 128;

Тестируем редиректы так:

curl -D - -o /dev/null -s http://universal-chat.net

и

curl -D - -o /dev/null -s http://api.universal-chat.net

Comments

[obvilion]

Большое спасибо, заработало.
Это дефолтная настройка nginx, ибо я только его установил, а бустить уже хотел в дальнейшем)

[Михаил Григорьев]

obvilion, обратите внимание, что при настройке

server {
        listen 443 ssl;
        server_name universal-chat.net www.universal-chat.net;
        ...
}

у Вас будет открываться https://universal-chat.net и https://www.universal-chat.net , что не очень хорошо

Если Вы хотите сделать редирект с https://www.universal-chat.net на https://universal-chat.net, то следует изменить конфиг к виду:

server {
        listen 443 http2 ssl;
        server_name www.universal-chat.net;
        ssl_protocols TLSv1.1 TLSv1.2;
        ssl_certificate "/etc/letsencrypt/live/api.universal-chat.net/cert.pem";
        ssl_certificate_key "/etc/letsencrypt/live/api.universal-chat.net/privkey.pem";
        return 301 https://universal-chat.net$request_uri;
}
server {
        listen 443 http2 ssl;
        server_name universal-chat.net;
        ssl_protocols TLSv1.1 TLSv1.2;
        ssl_certificate "/etc/letsencrypt/live/api.universal-chat.net/cert.pem";
        ssl_certificate_key "/etc/letsencrypt/live/api.universal-chat.net/privkey.pem";
        ...
}

Так же обращаю Ваше внимание, что в текущей Вашей конфигурации https настроено некорректно, необходимо добавить:

...
        ssl_session_cache shared:UNISSL:10m;
        ssl_session_timeout 10m;
        ssl_prefer_server_ciphers on;
        ssl_session_tickets off;
        ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';

        resolver 8.8.8.8 8.8.4.4 valid=300s;
        resolver_timeout 5s;
        ssl_stapling on;
        ssl_stapling_verify on;
        ssl_trusted_certificate /etc/nginx/ssl/letsencrypt-ca.pem;
        ssl_stapling_responder http://ocsp.int-x3.letsencrypt.org;

        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
        add_header X-Frame-Options SAMEORIGIN;
        add_header X-Content-Type-Options nosniff;
        add_header X-XSS-Protection "1; mode=block";
        ...

В файл /etc/nginx/ssl/letsencrypt-ca.pem необходимо добавить корневой сертификат Letsencrypt.

[obvilion]

Михаил Григорьев, большое спасибо за информацию.
Но как писал ниже - это пока что дефолтная настройка nginx, полной настройкой пока-что не занимался

[obvilion]

И да, если стандартное подключение HTTP 1.1, а в порту 443 указан HTTP 2.0, то сбоев не будет?

[Михаил Григорьев]

obvilion, сбоев не будет.
Если у Вас nginx собран с версией openssl < 1.0.2, то у вас не будет поддержки ALPN и http/2 в принципе работать не будет, все будет грузиться по http/1

# nginx -V
nginx version: nginx/1.13.6
built by gcc 4.9.2 (Debian 4.9.2-10)
built with OpenSSL 1.0.2m  2 Nov 2017
TLS SNI support enabled

[obvilion]

Михаил Григорьев,

root@universal-chat:~# nginx -V
nginx version: nginx/1.13.6
built by gcc 4.9.2 (Debian 4.9.2-10)
built with OpenSSL 1.0.1t  3 May 2016
TLS SNI support enabled

Не будет работать.
Еще возник вопрос - как собрать корневой сертификат Let's Encrypt?

[Михаил Григорьев]

obvilion, держите

# cat /etc/nginx/ssl/letsencrypt-ca.pem

-----BEGIN CERTIFICATE-----
MIIEkjCCA3qgAwIBAgIQCgFBQgAAAVOFc2oLheynCDANBgkqhkiG9w0BAQsFADA/
MSQwIgYDVQQKExtEaWdpdGFsIFNpZ25hdHVyZSBUcnVzdCBDby4xFzAVBgNVBAMT
DkRTVCBSb290IENBIFgzMB4XDTE2MDMxNzE2NDA0NloXDTIxMDMxNzE2NDA0Nlow
SjELMAkGA1UEBhMCVVMxFjAUBgNVBAoTDUxldCdzIEVuY3J5cHQxIzAhBgNVBAMT
GkxldCdzIEVuY3J5cHQgQXV0aG9yaXR5IFgzMIIBIjANBgkqhkiG9w0BAQEFAAOC
AQ8AMIIBCgKCAQEAnNMM8FrlLke3cl03g7NoYzDq1zUmGSXhvb418XCSL7e4S0EF
q6meNQhY7LEqxGiHC6PjdeTm86dicbp5gWAf15Gan/PQeGdxyGkOlZHP/uaZ6WA8
SMx+yk13EiSdRxta67nsHjcAHJyse6cF6s5K671B5TaYucv9bTyWaN8jKkKQDIZ0
Z8h/pZq4UmEUEz9l6YKHy9v6Dlb2honzhT+Xhq+w3Brvaw2VFn3EK6BlspkENnWA
a6xK8xuQSXgvopZPKiAlKQTGdMDQMc2PMTiVFrqoM7hD8bEfwzB/onkxEz0tNvjj
/PIzark5McWvxI0NHWQWM6r6hCm21AvA2H3DkwIDAQABo4IBfTCCAXkwEgYDVR0T
AQH/BAgwBgEB/wIBADAOBgNVHQ8BAf8EBAMCAYYwfwYIKwYBBQUHAQEEczBxMDIG
CCsGAQUFBzABhiZodHRwOi8vaXNyZy50cnVzdGlkLm9jc3AuaWRlbnRydXN0LmNv
bTA7BggrBgEFBQcwAoYvaHR0cDovL2FwcHMuaWRlbnRydXN0LmNvbS9yb290cy9k
c3Ryb290Y2F4My5wN2MwHwYDVR0jBBgwFoAUxKexpHsscfrb4UuQdf/EFWCFiRAw
VAYDVR0gBE0wSzAIBgZngQwBAgEwPwYLKwYBBAGC3xMBAQEwMDAuBggrBgEFBQcC
ARYiaHR0cDovL2Nwcy5yb290LXgxLmxldHNlbmNyeXB0Lm9yZzA8BgNVHR8ENTAz
MDGgL6AthitodHRwOi8vY3JsLmlkZW50cnVzdC5jb20vRFNUUk9PVENBWDNDUkwu
Y3JsMB0GA1UdDgQWBBSoSmpjBH3duubRObemRWXv86jsoTANBgkqhkiG9w0BAQsF
AAOCAQEA3TPXEfNjWDjdGBX7CVW+dla5cEilaUcne8IkCJLxWh9KEik3JHRRHGJo
uM2VcGfl96S8TihRzZvoroed6ti6WqEBmtzw3Wodatg+VyOeph4EYpr/1wXKtx8/
wApIvJSwtmVi4MFU5aMqrSDE6ea73Mj2tcMyo5jMd6jmeWUHK8so/joWUoHOUgwu
X4Po1QYz+3dszkDqMp4fklxBwXRsW10KXzPMTZ+sOPAveyxindmjkW8lGy+QsRlG
PfZ+G6Z6h7mjem0Y+iWlkYcV4PIWL1iwBi8saCbGS5jN2p8M+X+Q7UNKEkROb3N6
KOqkqm57TH2H3eDJAkSnh6/DNFu0Qg==
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

а Вообще полный список сертификатов тут
Если из консоли, то
cat /etc/letsencrypt/live/XXXXX/chain.pem
но тут только корневой сертификат Letsencrypt, еще нужен кросс сертификат DST Root CA X3, он тут
Выше я привел все что нужно.

Answer 2

[Lynn «Кофеман»]

Никогда не используйте $server_name. Вам нужен $host. Ну и протокол https в редиректе нужно указывать.

Comments

[obvilion]

Я сначала так и сделал: return 301 https://$host$request_uri;
Но ничего, и сейчас ничего - prntscr.com/h7yrgl

[Wexter]

obvilion, уберите

if ($scheme = "http") {
return 301 https://universal-chat.net$request_uri;
}

вам на 443 порт ни один нормальный браузер не придёт с http

[obvilion]

Wexter, это я делал разные варианты, там сначала стояло прослушивание 80 порта и 443 с ssl.

[Lynn «Кофеман»]

obvilion, скорее всего браузер закешировал неправильный редирект. Проверяйте curl-ом

Answer 3

[Андрей]

Попробуй поубирать все свои 301 редиректы и $scheme = "http" и пропиши просто:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";

Comments

[obvilion]

Не спасло(