0

Впервые пытаюсь использовать SSL сертификат в проекте Django.

Сертификат беру тут (т.е., фактически, от letsencrypt).

Генерил сертификат без CSR.

В архифе пришло три файла: ca_bundle.crt, certificate.crt, private.key.

Nginx отдаёт 2 файла: certificate.crt и private.key.

Всё работает нормально, за исключением Android устройств, когда заходишь с любого Android браузера, выдаёт "ошибку" как при самоподписном сертификате.

Дополнение

ssl-checker возвращает, среди прочего, это:

The certificate is not trusted in all web browsers. You may need to install an Intermediate/chain certificate to link it to a trusted root certificate.

Я так понимаю, что нужно использовать утилиту openssl, и что-то делать с файлом ca_bundle.crt, но не могу нарыть что именно.

6
  • А если просто заменить certificate.crt на ca_bundle.crt?
    – andreymal
    17 апр 2017 в 7:30
  • При nginx -t отдаёт nginx: [emerg] SSL_CTX_use_PrivateKey_file("/var/www/site/private.key") failed (SSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch) 17 апр 2017 в 7:53
  • Что именно не работает? Вангую, что в андроиде просто нет нужных корневых сертификатов.
    – Alexey Ten
    17 апр 2017 в 7:55
  • Стандартная ошибка, как будто бы сертификат самоподписный. 17 апр 2017 в 9:38
  • Какой андроид? letsencrypt.org/docs/certificate-compatibility
    – Alexey Ten
    17 апр 2017 в 9:41

1 ответ 1

3

исходя из названия файла и приведённой вами информации, скорее всего, в файле ca_bundle.crt хранится промежуточный (intermediate ca) сертификат, которым и подписан ваш сертификат (присланный вам в файле certificate.crt).

из этих двух файлов вам надо сформировать один, состоящий из вашего сертификата (должен идти первым) и промежуточного. тогда все http-клиенты смогут проверить действительность вашего сертификата.

имя у этого файла может быть произвольным (частенько в нём упоминают имя домена и суффикс .crt, исключительно для удобства):

$ (cat certificate.crt; echo; cat ca_bundle.crt) > ваш.домен.crt

и в конфигурации nginx надо будет указать именно этот файл в качестве сертификата:

ssl_certificate /путь/к/файлу/ваш.домен.crt

Nginx отдаёт 2 файла: certificate.crt и private.key.

что-то вы сделали неправильно. http-сервер не должен их просто так «отдавать». в файлах сертификатов, конечно, нет ничего секретного, а вот файл с секретным ключом private.key должен храниться «в секрете».


p.s. такая сложная команда со скобками и echo нужна для ситуации, когда первый файл не содержит в конце символа новой строки.

5
  • Я неверно выразился. Под "отдаёт", я подразумевал следующее: ssl_certificate /etc/ssl/certificate.crt; # <- ssl_certificate_key /etc/ssl/private.key; # <- 17 апр 2017 в 10:49
  • Обязательно ли файл должен называться так же, как доменное имя? Как быть, если домен кирилический? Называть файл в punycode, или же это рекомендация, а не обязательное условие? 17 апр 2017 в 10:56
  • 1
    я же написал — имя произвольное. хоть bla.bla,bla! его назовите. главное — именно это имя и укажите в конфигурации nginx. 17 апр 2017 в 11:28
  • Всё отлично работает. Большое спасибо! Единственный нюанс, что после конкатенации nginx отдаст ошибку: failed (SSL: error:0906D066:PEM routines:PEM_read_bio:bad end line), т.к. внутри нового файла склеится начало и конец -----END CERTIFICATE----------BEGIN CERTIFICATE-----, а нужно чтобы ----END и ----BEGIN должны быть на разных строках 17 апр 2017 в 11:30
  • 1
    @NarnikGamarnik, я исправил команду, чтобы избежать подобной ситуации. 18 апр 2017 в 22:30

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.