0

NginxでOCSP staplingの設定を施しましたがエラーが発生しました。
解決方法をご教示いただきたく。

VPSでNginxリバースプロキシを通して、DockerコンテナによるWordPressを公開しています。

NginxのOCSP設定は以下の通りです。

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate 中間ファイルパス;
resolver DNS...;
resolver_timeout 5s;

設定内容の確認は以下のコマンドで行っております。

openssl s_client -connect ドメイン名:443 -status | grep OCSP

コマンドの実行結果は以下の通りです。

OCSP response: no response sent

Nginxのエラーログでは以下の出力を得ています。

2024/01/01 00:00:00 [error] 4371#4371: dv.g4.ocsp.pubcert.jprs.jp could not be resolved (5: Operation refused) while requesting certificate status, responder: dv.g4.ocsp.pubcert.jprs.jp, certificate: "証明書ファイルパス"

エラーからは名前解決ができていないように見えるので以下の設定を施しました。

nmcli con mod eth0 ipv4.dns 8.8.8.8
nmcli connection down eth0 && nmcli connection up eth0

こちらのサイトでホスト名を"dv.g4.ocsp.pubcert.jprs.jp"、DNSサーバを"8.8.8.8"としてdig実行してみると名前解決が可能だったので上記コマンドを実行しましたが結果は変わりませんでした。

2
  • nginxでresolverを指定してるので、名前解決ができないときに疑うのはそちらの設定です。
    – suzukis
    Commented 2月11日 4:30
  • コメントありがとうございます。nginx設定ファイルには別のDNSをIPでなくドメイン名で指定してしまっていました。 加えて"ssl_trusted_certificate"に中間証明書とルート証明書をcatコマンドでつなげたファイルを指定した結果、無事名前解決含めエラー無く終えることができました。
    – HelpMe
    Commented 2月15日 11:25

1 件の回答 1

0

この質問はコメント欄のsuzukisさんにより解決いたしました。

"resolver"に指定した値が"8.8.8.8"に変更されておらず、尚且つIPアドレスではなくドメイン名で指定されていました。
そのため"8.8.8.8"を指定し直したところ名前解決エラーについては解決いたしました。

しかしながら追加で以下のエラーが発生しました。

2024/01/01 00:00:00 [error] 3136#3136: OCSP_basic_verify() failed (SSL: error:13800065:OCSP routines::certificate verify error:Verify error: unable to get issuer certificate) while requesting certificate status, responder: dv.g4.ocsp.pubcert.jprs.jp, peer: IPアドレス, certificate: "サーバ証明書"

こちらは"ssl_trusted_certificate"に指定したファイルの内容が中間証明書のみとなっていたため、中間証明書とルート証明書をcatコマンドで連結したファイルを指定することで解決しました。

以上、ありがとうございました。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。