<div dir="ltr"><div class="gmail_extra"><div></div>
<br><div class="gmail_quote">On Thu, Oct 16, 2014 at 2:58 PM, Maxim Dounin <span dir="ltr"><<a href="mailto:mdounin@mdounin.ru" target="_blank">mdounin@mdounin.ru</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">Hello!<br>
<span class=""><br>
On Thu, Oct 16, 2014 at 02:41:33PM +0100, Miguel Clara wrote:<br>
<br>
> Hum... makes sense when sni is involved yes, but I get the same issue if<br>
> using the same certificate (wildcard) for 2 subdomains our my dev<br>
> environment.<br>
><br>
> say "<a href="http://blog.domain.com" target="_blank">blog.domain.com</a>" and "<a href="http://forums.domain.com" target="_blank">forums.domain.com</a>" and I tested with<br>
> cert/key_path define in the server's blocks and in conf.d/ssl.conf (which<br>
> is read before site-enabled/*) both give the same result<br>
><br>
> This are curl result with any ssl path/cipher striped form server blocks,<br>
> and in one ssl_protocol as sslv3 (forums) the other does not<br>
<br>
</span>[...]<br>
<span class=""><br>
> NOTE: the blog config is read first... if I rename the forums config to<br>
> 00-forums.conf SSLv3 works, but works for both and it should not work for<br>
> blog... so It seems that its not only about sni?<br>
<br>
</span>Again: as long as SSLv3 is not enabled in the default server<br>
block, SSLv3 will not work.  If it's enabled, it will work for all<br>
virtual servers using the listen socket in question.  By chaning<br>
names you effectively change default server for the listen socket in<br>
question (but that's bad and not guaranteed to work, use<br>
"listen ... default_server" instead).  That's expected behaviour.<br>
<br>
Quoting my previous response here, you may want to re-read it to<br>
make sure you've understood it correctly:<br></blockquote><div><br>Duh, yes I get it now, its not possible to do this with sslv3 enable by default (also I do have default_server on ssl.conf)<br><div>        server {</div><div>            listen              443 default_server ssl spdy;</div><div>            server_name         _;</div><div>            ssl_certificate wildcard.crt;</div><div>            ssl_certificate_key wildcard.key;</div><div>        }<div><br></div>This just makes it use the cert for all and uses this as default (which as you say is preferred to just setting it on the server block and expect nginx uses the first as default.<br><br><div>I was using ssl_protocols TLSv1 TLSv1.1 TLSv1.2; or ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2; in the servers only and the moved it to ssl.conf.<br><br></div><div>And what you say is that *the expect behaviour" is that if SSLv3 is on then its on for all, and if not its off for all, it will use the default config (or first it grabs although its not the recommend case).<br><br>So as I said somewhere before this is indeed on for all or for none, but its not a bug, its how it works, there is no way around it except using a different socket (IP) for each server!<br><br>I was wrongly expecting it would work different with a wildcard cert.<br><br>Thanks for the clarification</div></div></div></div></div></div>