У меня есть докер-инфраструктура, состоящая из
1 обратный прокси nginx 1 веб-сервер nginx 1 сервер php7.0 fpm
как обратный прокси-сервер nginx, так и веб-сервер используют один и тот же образ докера, но просто загружаются с разными конфигурациями сайта.
На обратном прокси он также обслуживает статический javascript SPA, а также обратное проксирование на веб-сервер, который обслуживает мой api.
поэтому оба контейнера nginx работают с одним и тем же /etc/nginx/nginx.conf
мои конфиги ssl вот
##
# SSL Settings
##
ssl_stapling off;
ssl_session_timeout 1h;
ssl_session_tickets off;
ssl_stapling_verify off;
ssl_ecdh_curve secp384r1;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:5m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH+aRSA+RC4:EECDH:EDH+aRSA:RC4:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS;
ssl_certificate /srv/ssl/nginx-selfsigned.crt;
ssl_certificate_key /srv/ssl/nginx-selfsigned.key;
ssl_dhparam /srv/ssl/dhparam.pem;
Конфигурация моего сайта для обратного прокси такая
server {
listen 1025 ssl http2;
listen [::]:1025 ssl http2;
server_name api.site.com;
location / {
#include /etc/nginx/naxsi.rules;
proxy_pass https://td-api:1025;
proxy_buffering on;
proxy_buffers 256 16k;
proxy_buffer_size 128k;
proxy_read_timeout 300;
proxy_intercept_errors on;
proxy_max_temp_file_size 0;
proxy_busy_buffers_size 256k;
proxy_temp_file_write_size 256k;
proxy_set_header Host $host;
proxy_set_header Accept-Encoding "";
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
конфигурация моего сайта для спа
server {
listen 1025 ssl http2;
listen [::]:1025 ssl http2;
server_name site.network;
root /srv/agentfree-client/dist;
limit_conn addr 10;
limit_req zone=one burst=15 nodelay;
index index.html;
autoindex off;
location = /favicon.ico {
log_not_found off;
access_log off;
}
location = /robots.txt {
allow all;
log_not_found off;
access_log off;
}
location / {
if (!-e $request_filename){
rewrite ^(.*)$ /index.html break;
}
}
location ~* \.(js|css|png|jpg|jpeg|gif|ico)$ {
expires max;
log_not_found off;
}
}
моя конфигурация nginx для веб-сервера api
server {
listen 1025 ssl http2 default_server;
listen [::]:1025 ssl http2 default_server;
index index.php;
root /srv/www/public;
server_name api.site.com;
limit_conn addr 10;
limit_req zone=one burst=15 nodelay;
location / {
#include /etc/nginx/naxsi.rules;
try_files $uri $uri/ /index.php?$query_string;
}
location ~ \.php$ {
include snippets/fastcgi-php.conf;
fastcgi_pass td-api-fpm:9000;
}
}
мой ssl самоподписан и сгенерирован следующим образом
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /srv/ssl/nginx-selfsigned.key -out /srv/ssl/nginx-selfsigned.crt
openssl dhparam -out /srv/ssl/dhparam.pem 2048
перед этим я затем запускаю cloudflare ssl в полном режиме с отключенной бета-версией tls1.3
Когда я загружаю статический сайт, я получаю свой сайт и красивый зеленый https в хроме.
когда я пытаюсь выбрать маршрут в своем API, я получаю эту ошибку
Этот сайт не может обеспечить безопасное соединение
api.site.com использует неподдерживаемый протокол. ERR_SSL_VERSION_OR_CIPHER_MISMATCH СКРЫТЬ ДЕТАЛИ Неподдерживаемый протокол Клиент и сервер не поддерживают общую версию протокола SSL или набор шифров.
Я использую ubuntu 16.10, а контейнеры докеров запускают 16.10. Я получаю это в chrome 57.0.2987.110 (официальная сборка) (64-разрядная версия). Я также тестировал в firefox на той же машине и ipad.
Если я пропущу cloudflare для URL-адреса api, мой сайт загрузится, хотя и с самоподписанным предупреждением ssl.
Может ли кто-нибудь объяснить, почему это происходит, я без проблем запускаю эту точную настройку для нескольких приложений, но этот сервер api сводит меня с ума
Оказывается, вы не можете использовать многоуровневые поддомены с ssl на бесплатном плане