OCSP Stapling
Posted: Mon Apr 11, 2016 3:25 pm
Подскажите пожалуйста, как можно настроить OCSP Stapling на vestacp, чтобы ничего не сломать? :) В самой панели такого не обнаружил.
Он настраивается также, как и везде в nginxSPEC1AL1ST wrote:Подскажите пожалуйста, как можно настроить OCSP Stapling на vestacp, чтобы ничего не сломать? :) В самой панели такого не обнаружил.
Code: Select all
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 5m;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate "/path/to/your/ssl/ca-certs.pem"; <-- вот эту часть нужно нарыть
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;Рано или поздно, рано или поздно.SPEC1AL1ST wrote:Так мне кто-нибудь сможет ответить?
Я вас уверяю, что nginx используется тот же самый, что и в остальным мире :)SPEC1AL1ST wrote:Читал. Команды те же? Мне главное команды
Code: Select all
ssl_session_cache shared:SSL:50m;
ssl_buffer_size 1400;
ssl_session_timeout 24h;
ssl_protocols TLSv1.2;
ssl_prefer_server_ciphers on;
resolver 8.8.8.8 8.8.4.4;
resolver_timeout 10s;
ssl_stapling on;
ssl_stapling_verify on;
ssl_dhparam /etc/nginx/cert/dhparam.pem;
ssl_trusted_certificate /etc/nginx/cert/trustchain.crt;
ssl_ciphers AES256+EECDH:AES256+EDH:!aNULL;
Перечисленные параметры указать в /etc/nginx.conf - раздел SSL PCI ComplianceSPEC1AL1ST wrote:Спасибо. А как для каждого сайта с https это сделать? В какой файл лезть? На хабре не слишком подробно описывают :(
Генерировать.SPEC1AL1ST wrote:И где взять файл dhparam.pem ? Очень много не понятного :(
Code: Select all
openssl dhparam -out /etc/nginx/cert/dhparam.pem 4096Code: Select all
ssl_session_cache shared:SSL:50m;
ssl_buffer_size 1400;
ssl_session_timeout 24h;
ssl_protocols TLSv1.2;
ssl_prefer_server_ciphers on;
resolver 8.8.8.8 8.8.4.4;
resolver_timeout 10s;
ssl_stapling on;
ssl_stapling_verify on;
ssl_dhparam /etc/nginx/cert/dhparam.pem;
ssl_trusted_certificate /etc/nginx/cert/ca-certs.pem;
ssl_ciphers AES256+EECDH:AES256+EDH:!aNULL;Code: Select all
ssl on;
ssl_certificate /home/admin/conf/web/ssl.eve-ua.com.crt;
ssl_certificate_key /home/admin/conf/web/ssl.eve-ua.com.key;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'HIGH:!aNULL:!MD5:!kEDH';
add_header Strict-Transport-Security "max-age=31536000; includeSubdomains;";