Re: ssl_stapling without ssl_trusted_certificate

2019-04-12 Пенетрантность Maxim Dounin
Hello! On Fri, Apr 12, 2019 at 12:02:39AM +0300, sergio via nginx-ru wrote: > On 11/04/2019 22:56, Maxim Dounin wrote: > > Я подписан, не надо меня в cc включать. У вас в DMARC policy написано "p=quarantine", в результате Mailman в ваших письмах переписывает адрес отправителя на "sergio via

Re: ssl_stapling without ssl_trusted_certificate

2019-04-11 Пенетрантность sergio via nginx-ru
On 11/04/2019 22:56, Maxim Dounin wrote: Я подписан, не надо меня в cc включать. Директиву error_log следует указывать на глобальном уровне. Ага! при каждом обращении к OCSP-серверу ругаясь в логи про "no resolver defined to resolve ..." на уровне warn. Действительно, ругается, всё

Re: ssl_stapling without ssl_trusted_certificate

2019-04-11 Пенетрантность Maxim Dounin
Hello! On Thu, Apr 11, 2019 at 03:55:31AM +0300, sergio via nginx-ru wrote: > On 01/04/2019 19:22, Maxim Dounin wrote: > > > Давайте пойдём простым путём. > > Не похож он на простой. Он простой в том смысле, что результат не зависит от ваших оценочных суждений, а проверяем. [...] > >

Re: ssl_stapling without ssl_trusted_certificate

2019-04-10 Пенетрантность sergio via nginx-ru
On 01/04/2019 19:22, Maxim Dounin wrote: Давайте пойдём простым путём. Не похож он на простой. Покажите вывод "nginx -V" # nginx -V nginx version: nginx/1.14.1 built with OpenSSL 1.1.0f 25 May 2017 (running with OpenSSL 1.1.0j 20 Nov 2018) TLS SNI support enabled configure

Re: ssl_stapling without ssl_trusted_certificate

2019-04-01 Пенетрантность Maxim Dounin
Hello! On Mon, Apr 01, 2019 at 06:15:41PM +0300, sergio wrote: > On 01/04/2019 17:44, Maxim Dounin wrote: > > > либо обращений к OCSP-серверу нет > > обращения есть, я их вижу в query.log бинда, при старте энджинкса В query.log бинда невозможно увидеть обращения к OCSP-серверу. Максимум,

Re: ssl_stapling without ssl_trusted_certificate

2019-04-01 Пенетрантность sergio
On 01/04/2019 17:44, Maxim Dounin wrote: либо обращений к OCSP-серверу нет обращения есть, я их вижу в query.log бинда, при старте энджинкса либо resolver таки defined вне зависимости от того, закомментирована ли строчка "resolver localhost;" в conf.d/ssl.conf или нет либо логов

Re: ssl_stapling without ssl_trusted_certificate

2019-04-01 Пенетрантность Maxim Dounin
Hello! On Mon, Apr 01, 2019 at 04:29:34PM +0300, sergio wrote: > On 01/04/2019 15:54, Maxim Dounin wrote: > > > В случае, если resolver не указан, и при этом включён OCSP > > stapling - nginx будет пытаться использовать IP-адреса > > OCSP-сервера, полученные при старте, > > при каждом обращении

Re: ssl_stapling without ssl_trusted_certificate

2019-04-01 Пенетрантность sergio
On 01/04/2019 15:54, Maxim Dounin wrote: Если issuer'а нет ни в цепочке сертификатов в ssl_certificate Прошу прощения, нагло наврал. issuer есть в ssl_certificate, мне его туда незаметно подсовывают оказывается. В случае, если resolver не указан, и при этом включён OCSP stapling - nginx

Re: ssl_stapling without ssl_trusted_certificate

2019-04-01 Пенетрантность Maxim Dounin
Hello! On Sun, Mar 31, 2019 at 09:10:15PM +0300, sergio wrote: > Вот тут > https://nginx.org/en/docs/http/ngx_http_ssl_module.html > написано: > > For the OCSP stapling to work, the certificate of the server certificate > issuer should be known. If the ssl_certificate file does not contain >

ssl_stapling without ssl_trusted_certificate

2019-03-31 Пенетрантность sergio
Вот тут https://nginx.org/en/docs/http/ngx_http_ssl_module.html написано: For the OCSP stapling to work, the certificate of the server certificate issuer should be known. If the ssl_certificate file does not contain intermediate certificates, the certificate of the server certificate issuer