首页   注册   登录
V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
GeekSky
V2EX  ›  程序员

求助!关于 OCSP 装订的问题。

  •  
  •   GeekSky · 49 天前 · 1500 次点击
    这是一个创建于 49 天前的主题,其中的信息可能已经有所发展或是发生改变。

    NGINX 报错:

    "ssl_stapling" ignored, host not found in OCSP responder "ocsp.int-x3.letsencrypt.org" in the certificate "/usr/local/nginx/ssl/www.pem"
    

    ssllabs 检测提示:

    This server certificate supports OCSP must staple but OCSP response is not stapled
    

    NGINX 配置如下:

            ssl_certificate      /usr/local/nginx/ssl/www.pem;
            ssl_certificate_key  /usr/local/nginx/ssl/www.key;
            ssl_session_cache    shared:SSL:5m;
            ssl_session_timeout  5m;
            ssl_early_data       on;
            ssl_protocols        TLSv1.2 TLSv1.3;
            ssl_prefer_server_ciphers  on;
            ssl_stapling         on;
            resolver      223.5.5.5;
            ssl_stapling_verify  on;
    

    请问是哪里的问题?

    第 1 条附言  ·  48 天前
    最终结果

    导致原因:坏蛋捣乱。

    解决方法:

    1.改 hosts 文件,添加:23.205.154.146 ocsp.int-x3.letsencrypt.org

    这个我尝试了,没用。

    2.resolver 使用 8.8.8.8 和 8.8.4.4

    我使用这个解决了,不过我好奇啊,这俩 DNS 国内不是不能用的吗……
    16 条回复    2020-05-24 18:20:51 +08:00
    cwek
        1
    cwek   49 天前
    这个好像提过很多次,letsencrypt 的 OCSP 地址被污染了。
    GeekSky
        2
    GeekSky   49 天前
    @cwek 这些龟孙,真是闲的蛋疼,这个碍它们什么事了……
    老哥有解决办法没?
    dingyx99
        3
    dingyx99   48 天前
    可以把 resolver 换成一个可以正常解析并访问 OCSP 域名的 DNS,或者是自己加上 ssl_trusted_certificate 手动 OCSP
    GeekSky
        4
    GeekSky   48 天前
    @dingyx99 ssl_trusted_certificate 是使用 ca_bundle 这个证书吗?
    lookas2001
        5
    lookas2001   48 天前 via Android   ❤️ 3
    ocsp.int-x3.letsencrypt.org 被污染了
    解决方式:加 hosts
    23.205.154.146 ocsp.int-x3.letsencrypt.org
    不知道那群人在想啥,没事净给人添堵
    constructor
        6
    constructor   48 天前
    @dingyx99 看看前几天我怎么从坑里出来的: https://v2ex.com/t/672952,看附言部分的总结。
    allenforrest
        7
    allenforrest   48 天前
    ssl_stapling on;
    resolver 8.8.8.8 8.8.4.4 223.5.5.5 valid=300s;
    resolver_timeout 5s;

    亲测可用
    Vhc001
        8
    Vhc001   48 天前
    域名被 DNS 污染了,狗日的 XX 党
    lanternxx
        9
    lanternxx   48 天前
    @lookas2001 #5 ocsp.int-x3.letsencrypt.org 这个域名用的 akamai 的 CDN,CNAME 解析到了 a771.dscq.akamai.net ,是这个 akamai 的 CDN 域名被污染了。估计是有不和谐的网站也在用这个 CDN 域名。
    lookas2001
        10
    lookas2001   48 天前 via Android
    @lanternxx sni 定点清除,请。
    求求有关部门找点靠谱的人维护这个系统吧,实在不行拆了也成。
    moult
        11
    moult   48 天前 via iPhone
    @lookas2001 host 设定好像没用的。Nginx 的 OCSP 请求好像不信任 host 的。
    seers
        12
    seers   48 天前
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 1.1.1.1 1.0.0.1 8.8.8.8 8.8.4.4 208.67.222.222 208.67.220.220 valid=60s;
    resolver_timeout 2s;
    holinhot
        13
    holinhot   48 天前
    @lookas2001 和维护的人没关系,维护的人只是按上面下发的名单操作。
    lanternxx
        14
    lanternxx   48 天前
    @lookas2001 #9 和 SNI 没关系吧,目前只是 DNS 污染,没有 TCP 阻断。而且 OCSP 是 http 的,没有 SNI 。
    sundev
        15
    sundev   48 天前
    亲测加 Host 有效。
    另疑惑 resolver 用 8.8.8.8 8.8.4.4 有用?这两个 Google 的 DNS 不是无法访问的么?
    zingl
        16
    zingl   48 天前
    8.8.8.8 在服务器上可以访问
    关于   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   1751 人在线   最高记录 5168   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 26ms · UTC 00:55 · PVG 08:55 · LAX 17:55 · JFK 20:55
    ♥ Do have faith in what you're doing.