Nginx SSL 配置在移动浏览器上不起作用答案

【问题标题】：Nginx SSL configuration not working on mobile browsersNginx SSL 配置在移动浏览器上不起作用
【发布时间】：2019-03-15 17:30:45
【问题描述】：

我已经设置了一个服务于 ssl 的 Nginx 服务器，其中一个 http 服务器块重定向到一个安全的服务器块。该证书由我的域提供商 (1&1) 颁发。它在大多数桌面浏览器上都能正常工作，但我在移动设备上的 Firefox 上得到 SSL_ERROR_INTERNAL_ERROR_ALERT，在 Chrome 移动设备 (Android Pie) 上得到 ERR_SSL_PROTOCOL_ERROR。

这里是nginx配置：

server {
         listen 80 deferred;
         listen [::]:80 deferred;
         server_name meetoko.com www.meetoko.com;

         return 301 https://meetoko.com$request_uri;
 }


server {

         listen 443 ssl;
         listen [::]:443 ssl;

        ssl on;
        ssl_certificate                 /etc/ssl/meetoko.com.pem;
        ssl_certificate_key             /etc/ssl/meetoko.com.key;

        root /var/www/html;
        
        server_name meetoko.com;
        server_name  www.meetoko.com;
        try_files $uri $uri/ /index.html;

        location / {
                try_files $uri $uri/ /index.html;
        }

        location /api/ {
                proxy_pass http://localhost:3000;
                proxy_http_version 1.1;
        }


        location /public/ {
                alias /root/oko-back/public/;
        }
}

.pem 密钥是主证书和中间颁发的证书的串联，.key 是私钥。

在移动设备和桌面设备上使用 HTTPS 之前一切正常，所以很难弄清楚可能出了什么问题……有什么想法吗？

谢谢！

【问题讨论】：

标签： ssl nginx mobile https

【解决方案1】：

站点的配置不一致as shown by SSLLabs。它已针对 IPv4 正确配置，但没有针对 IPv6 的配置，尽管它具有 IPv6 地址。

我的猜测是测试的桌面环境仅是 IPv4（至少在互联网访问方面），因此不会出现问题。相反，移动环境支持 IPv6，在这种情况下 IPv6 是首选协议。只是，由于配置不完整，使用 IPv6 访问站点失败。

【讨论】：

确实，在域的 IPV6 配置之后一切顺利。谢谢！

【解决方案2】：

尝试在配置中设置此选项：

ssl_verify_client optional_no_ca;

ssl_verify_client

当ssl_verify_client optional 或on nginx 服务器要求客户端（移动浏览器）提供具有可信 CA 的证书。一些固件没有由受信任的 CA 颁发和签署的客户端证书。

optional_no_ca 参数（1.3.8、1.2.5）请求客户端证书，但不需要由受信任的 CA 签署证书。

但即使使用这些设置，移动 Opera 浏览器也无法运行。 Opera 无论如何都要求用户提供证书。所以停止打扰客户端ssl_verify_client 设置应该是：

ssl_verify_client off;

【讨论】：