Re: Проблема с SSl

[Иван Мишин]

если проблема в утилите openssl то почему servicen nignx reload исцеляет
систему?
На том же сервере работает еще и apache (очевидно с тем же openssl) и он
такой проблемы не имеет

пн, 22 окт. 2018 г. в 14:18, Maxim Dounin <mdounin на mdounin.ru>:

> Hello!
>
> On Fri, Oct 19, 2018 at 05:55:28PM +0300, Иван Мишин wrote:
>
> > Есть такой конфиг:
> >
> >  server {
> > >         listen       443 ssl;
> > >         server_name  test.ru;
> > >
> > >         ssl_certificate     /etc/nginx/include/test/lich-2012-srv.pem;
> > >         ssl_certificate_key
> > > 'engine:gostengy:s38g83e8ae2e2183b3624f880eb1ca12ggcdfebf';
> > >         ssl_verify_client off;
> > >         ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
> > >         ssl_ciphers GOST2012-GOST8912:GOST2001-GOST89:HIGH;
> > >         ssl_prefer_server_ciphers  on;
> > >       location / {
> > >                 proxy_set_header X-Real-IP $remote_addr;
> > >                 proxy_set_header X-Forwarded-For
> > > $proxy_add_x_forwarded_for;
> > >                 proxy_hide_header  Host;
> > >                 proxy_set_header X-NginX-Proxy true;
> > >                 proxy_set_header Host test.loc;
> > >                 proxy_pass http://test.loc;
> > >                 proxy_redirect off;
> > >                 client_max_body_size 300M;
> > >                 sendfile on;
> > >                 send_timeout 300s;
> > >         }
> > >     }
> >
> >
> > Со временем сервер либо перестает работать совсем, либо работает через
> раз.
> > при этом в логах вот такая ошибка:
> >
> > > [crit] 28474#28474: *401018 SSL_do_handshake() failed (SSL:
> > > error:8001B035:lib(128):gng_keyhandle_getset:GNG_ERR_EXPORT_IMPORT
> > > error:1419D093:SSL routines:tls_process_cke_gost:decryption failed)
> while
> > > SSL handshaking, client: x.x.x.x, server: 0.0.0.0:443
> >
> > Просьба помочь с решением проблемы.
>
> Судя по диагностики, ваши проблемы - где-то в GOST engine.  Если
> по условиям задачи её можно выкинуть - очевидным решением будет
> выкинуть.  Если выкинуть нельзя - попробуйте поиграться с версиями
> OpenSSL'я и GOST engine, а равно попробуйте грузить ключ из файла,
> а не через engine.  Если ничего из этого не поможет - стоит
> стучаться непосредственно к ребятам, занимающимся оной GOST
> engine.
>
> --
> Maxim Dounin
> http://mdounin.ru/
> _______________________________________________
> nginx-ru mailing list
> nginx-ru на nginx.org
> http://mailman.nginx.org/mailman/listinfo/nginx-ru
----------- следущая часть -----------
Вложение в формате HTML было извлечено…
URL: <http://mailman.nginx.org/pipermail/nginx-ru/attachments/20181022/ac896086/attachment.html>