Как установить SSL на связку Nginx + Apache?

Question

[Константин Хаиров]

Всем привет. Вот какая проблема. Взял бесплатный Comodo. Установил как надо через VestaCP админку все приняло и т.д . Vesta создала отдельный конфиги для nginx и apache с дописью ssl.

sitenam.nginx.ssl.conf
sitenam.httpd.ssl.conf

Все классно но при этом при попытке зайти по https://example.com в ответ от Chrome получаю

Этот сайт не может обеспечить безопасное соединение

Сайт sitename отправил недействительный ответ.

Перерыл интернет. Проверил конфиг все верно вроде. Куда копать уже не знаю. Подскажите в чем проблема может быть?

P.S Пусти прописаны до серртификатов. Apache вертит вот эти порты 8080 и 8443 и передает их на Nginx я так понял. В конфигах везде сертификат указан но ничего не работает. по HTTP все отлично работает. Заранее спасибо за помощь .

Comments

[Борис Сёмов]

Vesta это наполовину рабочее недоразумение, так то не очень-то удивительно. А чтобы ответить на ваш вопрос, нужно, как минимум, видеть содержимое ваших конфигов. Начать стоит с тех самых sitenam.nginx.ssl.conf и sitenam.httpd.ssl.conf

С какой целью вообще apache висит более чем на одном порту, это уже большой вопрос. В такой связке терминироваться ssl должен на nginx, вообще говоря, но похоже, что авторы Vesta, как обычно мыслят альтернативно. =)

Вообще, на будущее, рекомендую не связываться с Vesta. Да и вообще, научиться обходиться без панелек было бы весьма полезно.

[CityCat4]

Поддерживаю Борис Сёмов . Сначала конфиги, созданные вестой - и собственно сертификат. Вполне возможно, что там имя сайта отличается от того, которое прописано в сертификате. А браузер требует буквального совпадения.
И в том, что лучше всего конфиги править руками - тоже поддерживаю. Все эти панели - это всего лишь костыли.

[Константин Хаиров]

Борис Сёмов, CityCat4,

Конфиг для ssl nginx

server {

listen мой IP:443;
server_name domen.com www.moydomen.com;
ssl on;
ssl_certificate /home/admin/conf/web/ssl.domen.com.pem;
ssl_certificate_key /home/admin/conf/web/ssl.domen.com.key;
error_log /var/log/httpd/domains/domen.com.error.log error;

location / {
proxy_pass https://185.196.214.38:8443;

proxy_cache domen.com;
proxy_cache_valid 15m;
proxy_cache_valid 404 1m;
proxy_no_cache $no_cache;
proxy_cache_bypass $no_cache;
proxy_cache_bypass $cookie_session $http_x_update;

location ~* ^.+\.(jpeg|jpg|png|gif|bmp|ico|svg|tif|tiff|css|js|htm|html|ttf|otf|webp|woff|txt|csv|rtf|doc|docx|xls|xlsx|ppt|pptx|odf|odp|ods|odt|pdf$
proxy_cache off;
root /home/admin/web/domen.com/public_html;
access_log /var/log/httpd/domains/domen.com.log combined;
access_log /var/log/httpd/domains/domen.com.bytes bytes;
expires max;
try_files $uri @fallback;
}
}

location /error/ {
alias /home/admin/web/domen.com/document_errors/;
}

location @fallback {
proxy_pass https://мой ip:8443;
}

location ~ /\.ht {return 404;}
location ~ /\.svn/ {return 404;}
location ~ /\.git/ {return 404;}
location ~ /\.hg/ {return 404;}
location ~ /\.bzr/ {return 404;}

#include /home/admin/conf/web/snginx.domen.com.conf*;
}

Конфиг для apache ssl

ServerName domen.com
ServerAlias www.domen.com
ServerAdmin [e-mail]
DocumentRoot /home/admin/web/domen.com/public_html
ScriptAlias /cgi-bin/ /home/admin/web/domen.com/cgi-bin/
Alias /vstats/ /home/admin/web/domen.com/stats/
Alias /error/ /home/admin/web/domen.com/document_errors/
#SuexecUserGroup admin admin
CustomLog /var/log/httpd/domains/domen.com.bytes bytes
CustomLog /var/log/httpd/domains/domen.com.log combined
ErrorLog /var/log/httpd/domains/domen.com.error.log

AllowOverride All
SSLRequireSSL
Options +Includes -Indexes +ExecCGI
php_admin_value open_basedir /home/admin/web/domen.com/public_html:/home/admin/tmp
php_admin_value upload_tmp_dir /home/admin/tmp
php_admin_value session.save_path /home/admin/tmp

AllowOverride All

SSLEngine on
SSLVerifyClient none
SSLCertificateFile /home/admin/conf/web/ssl.domen.com.crt
SSLCertificateKeyFile /home/admin/conf/web/ssl.domen.com.key
SSLCertificateChainFile /home/admin/conf/web/ssl.domen.com.ca


RMode config
RUidGid admin admin
RGroups apache

AssignUserID admin admin


IncludeOptional /home/admin/conf/web/shttpd.domen.com.conf*

Вот новые файлы которые VestaCP создала для SSL

[Борис Сёмов]

Пярм как я и думал, они задумали странное. Гонять внутри сервера по ssl между nginx и apache запросы прям какое-то извращение, т.е. оверхед-то не большой, но соврешенно не нужный. И proxy_cache вот так это тоже плохая идея. Да и использование mod_ruid, а не mpm-itk...

Продолжим гадать, раз домен не показываете: https://www.ssllabs.com/ssltest что скажет про ваш сертификат/домен?

[Константин Хаиров]

Борис Сёмов, Он не видит сертификат . Assessment failed: No secure protocols supported

[Борис Сёмов]

Константин Хаиров, А nginx -t не выдаёт никакой ошибки?

[Константин Хаиров]

Борис Сёмов,

Вот что выдает :

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

[Борис Сёмов]

Константин Хаиров, После nginx -s reload не исправляется ситуация?

[Константин Хаиров]

Борис Сёмов, Нет

[Борис Сёмов]

Константин Хаиров, Боюсь, что мысли кончились. Я бы дальше читал/проверял бы все конфиги, логи, попробовал бы локально дёрнуть wget страницы и.т.п. В принципе, если зайдёте окончательно в тупик, и будете готовы дать доступ, можете написать мне в скайп, указанный в профиле, могу глянуть - аж интересно даже что там в итоге не так.

[Константин Хаиров]

Борис Сёмов, Разобрался в чем беда. Нашел в одной из самых незаметных папок в папке с конфигами один файл для nginx и там на 443 порт уже был прописан listen . Убрал этот конфиг и все заработало. Спасибо всем за помощь.