Как установить второй сертификат SSL?

Question

[mrbalearic]

Есть сервер Bitrix virtual appliance version 5.1.8

Там установлен сертификат SSL для основного домена.
Сейчас сделали поддомен, который ссылается на этот же сайт. Для него выпустили сертификат.

В /etc/nginx/bx/site_avaliable лежит конфа, в которой прописан сертификат на основной домен.
Создавал в папке /etc/nginx/bx/site_ext_enabled конфу для поддомена, с прописанными данными второго сертификата, но не хочет применять.

Comments

[Дмитрий Шицков]

А где ваш конфиг?
Не применяет - это как? Не перезапускается? Ошибка возникает? Какая ошибка?
В логах access/error при заходе на этот поддомен что?
Вы уверены что в этом каталоге nginx ожидает от вас конфиги?

Answer 1

[Sanes]

Нужен сертификат на 2 домена.

Comments

[mrbalearic]

А в данном раскладе нельзя найти решение разве?

[Sanes]

mrbalearic, что мешает выпустить нормальный сертификат?

[mrbalearic]

Sanes, то, что выпустили для поддомена и оплатили это.

[Sanes]

mrbalearic, надо выпускать для основного домена и поддомена. Или wildcard.

[mrbalearic]

Sanes, Это всё понятно. Вопрос изначально другой. Реально сделать так или не реально. Судя по разным форумам - реально, но решение не сработало, предполагаю, что где-то ошибся.

[Sanes]

mrbalearic, первый раз такое слышу.

[Sanes]

mrbalearic, Несколько SSL на одном домене?

Answer 2

[Пума Тайланд]

Создайте отдельный конфиг в сайт авайлебл с сертификатом и направьте на тот же Битрикс и все будет работать

Comments

[Sanes]

+1 лицензия и доп. сайт

[Пума Тайланд]

Sanes, ну если дело в лицензиях то по дефолту их две

[Sanes]

Пума Тайланд, это понятно. Вроде они хотят сделать зеркало, а не второй сайт. Со вторым сайтом впринципе проблем не должно быть.

[Пума Тайланд]

Sanes, зеркало тоже будет работать

[Sanes]

Пума Тайланд, веб-серверу плохо не станет от такого конфига?

[Sanes]

Пума Тайланд, собстенно в вопросе он такой способ и пытался применить.

[Пума Тайланд]

Sanes, хз зачем он в какую то левую папку конфиг ложит, может ещё нгинкс забыл перезапустить

[Sanes]

Пума Тайланд, чем не устраивает /etc/nginx/bx/site_ext_enabled
там не обязательно линки держать

[Sanes]

Пума Тайланд,
лучшим ответом будет, обратиться к специалисту.

[mrbalearic]

Пума Тайланд, нгинкс не забываю перезапустить.
Сейчас положил файл ssl.s2.conf в папку где лежит ssl.s1.conf (site_avaliable)
В нем инклуд на ssl2.conf в папке (nginx/bx/conf) по примеру первого. Сертификат прописан второй, для поддомена. Нгинкс перезапускается без ругани.

Для поддомена серт не применяется.

[Sanes]

lolhunter, круто. Только это не отменяет разницу между доп. сайтом и зеркалом. Автор похоже хочет получить зеркало.

[mrbalearic]

Sanes, Да уже работает как надо. При входе на site1.site.ru открывает тоже самое что по site.ru
теперь надо чтобы второй серт тоже работал и вопросов не будет.

[Sanes]

mrbalearic, не будет он работать, как вы хотите.

[mrbalearic]

Sanes, Пума Тайланд не прав?

[Sanes]

mrbalearic, ну попробуйте. Если веб-серверам от такого конфига не поплохеет, то вам повезло.

[Пума Тайланд]

mrbalearic, да прав я у меня и так и так работает все в Битриксе

[Sanes]

mrbalearic, особенно за апач тревожно, если он PHP запускает.

[mrbalearic]

Пума Тайланд, ок, если у тебя работает, что я делаю не так?) сделал как ты написал, почему же сертификат на поддомен не применяется..

[Пума Тайланд]

mrbalearic, значит сделал не так как надо, без конфигов всех угадать что ты там сделал не правильно может только гадалка на кофейной гуще.

[mrbalearic]

Пума Тайланд,

spoiler

cat ssl.s1.conf
# Default SSL certificate enabled website
server {
listen 443 default_server ssl;
server_name _;

# Enable SSL connection
include bx/conf/ssl_1.conf;
server_name_in_redirect off;

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host:443;
proxy_set_header HTTPS YES;

set $proxyserver "127.0.0.1:8888";
set $docroot "/home/bitrix/www";

index index.php;
root /home/bitrix/www;

# Include parameters common to all websites
include bx/conf/bitrix.conf;

# Include server monitoring API's
include bx/server_monitor.conf;

}

Аналогично сделан второй файл, где уже стоит include bx/conf/ssl_2.conf;

spoiler

cat ssl_2.conf
# If they come here using HTTP, bounce them to the correct scheme
# Nginx internal code used for the plain HTTP requests
# that are sent to HTTPS port to distinguish it from 4XX in a log and an error page redirection.
error_page 497 https://$host$request_uri;

# Increase keepalive connection lifetime
keepalive_timeout 70;
keepalive_requests 150;

# SSL encryption parameters
ssl on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
ssl_prefer_server_ciphers on;

ssl_certificate /etc/nginx/ssl/omsk2020.crt;
ssl_certificate_key /etc/nginx/ssl/omsk2020.key;

# performance
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

[Пума Тайланд]

имена доменов отсутствуют в конфига поэтому все и не работает
тут и семи пядей во лбу не надо

[mrbalearic]

Пума Тайланд, если ты про "server_name" в файлах ssl.s1.conf и ssl.s.2.conf в /etc/nginx/bx/site_avaliable, то там я уже поставил имена доменов. Но результата нет.

[Пума Тайланд]

mrbalearic, вы перезапускать нгинкс не забываете ?
в примерах у вас не прописан сервер нейм , во втором конфиге почему то нет директив server и listen

[mrbalearic]

Пума Тайланд, Не забываю. После любых изменений перезапускаю. По конфигам видимо не поняли друг друга.. Щас напишу подробнее.

Конфиг nginx:

spoiler

cat nginx.conf
user bitrix;
worker_processes 8;
error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;
worker_rlimit_nofile 10240;

events {
use epoll;
worker_connections 10240;
}

http {

include /etc/nginx/mime.types;
default_type application/force-download;
server_names_hash_bucket_size 128;

# Description of supported access log formats
log_format main '$remote_addr - $remote_user [$time_local - $upstream_response_time] '
'$status "$request" $body_bytes_sent '
'"$http_referer" "$http_user_agent" "$http_x_forwarded_for"';

log_format common '$remote_addr - - [$time_local - $upstream_response_time] '
'"$request" $status $bytes_sent '
'"$http_referer" "$http_user_agent" $msec';

log_format balancer '$remote_addr - $remote_user [$time_iso8601] "$host" '
'"$request" $status $body_bytes_sent "schema: $scheme" '
'"$http_referer" "$http_user_agent" "$http_x_forwarded_for" '
'"$request_length" : "$request_time" -> $upstream_response_time';

log_format debug '$upstream_response_time,"$time_local","$remote_addr","$request",$status,$body_bytes_sent';

# upload default maps
include bx/maps/*.conf;

# Disable request logging in nginx by default
access_log /var/log/nginx/access.log common;
access_log on;

sendfile on;
tcp_nopush on;
tcp_nodelay on;

client_max_body_size 1024m;
client_body_buffer_size 4m;

# Parameters for back-end request proxy
proxy_connect_timeout 300;
proxy_send_timeout 300;
proxy_read_timeout 300;
proxy_buffer_size 64k;
proxy_buffers 8 256k;
proxy_busy_buffers_size 256k;
proxy_temp_file_write_size 10m;

# Assign default error handlers
error_page 500 502 503 504 /500.html;
error_page 404 = /404.html;

# Content compression parameters
gzip on;
gzip_proxied any;
gzip_static on;
gzip_http_version 1.0;
gzip_types application/x-javascript application/javascript text/css;

add_header "X-Content-Type-Options" "nosniff";
add_header X-Frame-Options SAMEORIGIN;

# Set nginx-push-stream-module common parameters
include bx/conf/im_settings.conf;

# Set default website
include bx/site_enabled/*.conf;

# Set additional websites
include bx/site_ext_enabled/*.conf;
}

/etc/nginx/bx/conf

Там 2 файла:

ssl_1.conf

spoiler

cat ssl_1.conf
# If they come here using HTTP, bounce them to the correct scheme
# Nginx internal code used for the plain HTTP requests
# that are sent to HTTPS port to distinguish it from 4XX in a log and an error page redirection.
error_page 497 https://$host$request_uri;

# Increase keepalive connection lifetime
keepalive_timeout 70;
keepalive_requests 150;

# SSL encryption parameters
ssl on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
ssl_prefer_server_ciphers on;

ssl_certificate /etc/nginx/ssl/ova2021.crt;
ssl_certificate_key /etc/nginx/ssl/ova2021.key;

# performance
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

ssl_2.conf

spoiler

cat ssl_2.conf
# If they come here using HTTP, bounce them to the correct scheme
# Nginx internal code used for the plain HTTP requests
# that are sent to HTTPS port to distinguish it from 4XX in a log and an error page redirection.
error_page 497 https://$host$request_uri;

# Increase keepalive connection lifetime
keepalive_timeout 70;
keepalive_requests 150;

# SSL encryption parameters
ssl on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
ssl_prefer_server_ciphers on;

ssl_certificate /etc/nginx/ssl/omsk2020.crt;
ssl_certificate_key /etc/nginx/ssl/omsk2020.key;

# performance
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

[mrbalearic]

Пума Тайланд, /etc/nginx/bx/site_avaliable

4 файла

s1.conf

spoiler

cat s1.conf
# Default website
server {

listen 80 default_server;
server_name ova.ru;
server_name_in_redirect off;

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host:80;

set $proxyserver "127.0.0.1:8888";
set $docroot "/home/bitrix/www";

index index.php;
root /home/bitrix/www;

# Redirect to ssl if need
if (-f /home/bitrix/www/.htsecure) { rewrite ^(.*)$ https://$host$1 permanent; }

# Include parameters common to all websites
include bx/conf/bitrix.conf;

# Include server monitoring locations
include bx/server_monitor.conf;
}

s2.conf

spoiler

cat s2.conf
# Default website
server {

listen 80 default_server;
server_name omsk.ova.ru;
server_name_in_redirect off;

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host:80;

set $proxyserver "127.0.0.1:8888";
set $docroot "/home/bitrix/www";

index index.php;
root /home/bitrix/www;

# Redirect to ssl if need
if (-f /home/bitrix/www/.htsecure) { rewrite ^(.*)$ https://$host$1 permanent; }

# Include parameters common to all websites
include bx/conf/bitrix.conf;

# Include server monitoring locations
include bx/server_monitor.conf;
}

ssl.s1.conf

spoiler

cat ssl.s1.conf
# Default SSL certificate enabled website
server {
listen 443 default_server ssl;
server_name ova.ru;

# Enable SSL connection
include bx/conf/ssl_1.conf;
server_name_in_redirect off;

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host:443;
proxy_set_header HTTPS YES;

set $proxyserver "127.0.0.1:8888";
set $docroot "/home/bitrix/www";

index index.php;
root /home/bitrix/www;

# Include parameters common to all websites
include bx/conf/bitrix.conf;

# Include server monitoring API's
include bx/server_monitor.conf;

ssl.s2.conf

spoiler

cat ssl.s2.conf
# Default SSL certificate enabled website
server {
listen 443 default_server ssl;
server_name omsk.ova.ru;

# Enable SSL connection
include bx/conf/ssl_2.conf;
server_name_in_redirect off;

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host:443;
proxy_set_header HTTPS YES;

set $proxyserver "127.0.0.1:8888";
set $docroot "/home/bitrix/www";

index index.php;
root /home/bitrix/www;

# Include parameters common to all websites
include bx/conf/bitrix.conf;

# Include server monitoring API's
include bx/server_monitor.conf;

}

[Пума Тайланд]

mrbalearic, у вас же ошибки в конфиге и нгинкс не перезапуска тупо , запустите в командной строке просто nginx он вам подаст ошибки

[mrbalearic]

Пума Тайланд,
# nginx
nginx: [emerg] bind() to 0.0.0.0:8070 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8893 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8894 failed (98: Address already in use)
nginx: [emerg] bind() to 127.0.0.1:8895 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:80 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:443 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8070 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8893 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8894 failed (98: Address already in use)
nginx: [emerg] bind() to 127.0.0.1:8895 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:80 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:443 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8070 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8893 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8894 failed (98: Address already in use)
nginx: [emerg] bind() to 127.0.0.1:8895 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:80 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:443 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8070 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8893 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8894 failed (98: Address already in use)
nginx: [emerg] bind() to 127.0.0.1:8895 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:80 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:443 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8070 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8893 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:8894 failed (98: Address already in use)
nginx: [emerg] bind() to 127.0.0.1:8895 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:80 failed (98: Address already in use)
nginx: [emerg] bind() to 0.0.0.0:443 failed (98: Address already in use)
nginx: [emerg] still could not bind()

А что именно в конфигах не так?

[Пума Тайланд]

mrbalearic, такого быть не может, где то вы наврали или изменили конфиге или они у вас в нгинкс не инклудятся

[mrbalearic]

Пума Тайланд, Конфиги не менялись с пятницы, когда я скидываю сюда их содержимое, в том числе конфиг основной нгинкс..

[Пума Тайланд]

mrbalearic, ну либо вы где то приврали либо конфиги не инклудятся

[mrbalearic]

Пума Тайланд, Но при рестарте нгинкс то вообще нет ошибок и рестартует нормально.

[Пума Тайланд]

mrbalearic, ну я же написал это возможно только в случае что вы приврали или конфиги не инклудятся