这是一个创建于 1433 天前的主题，其中的信息可能已经有所发展或是发生改变。
在境外 vps 上搭了静态的 http server （ ngnix ）测试
首先是用了 afraid.org 的域名，用浏览器访问域名的 80 端口没问题，网页正常显示
然后使用了 lets encrypt 的证书添加 https，
上海电信用浏览器访问域名 443 端口没问题，正常显示小绿锁；
江苏移动则无法打开网页，看服务端日志 ssl 握手无法完成，ssl handshake failed, connection rest，看起来服务端和客户端都被中间人发了 RST 阻断。
因为手头没有其他证书无法排查这种阻断是针对域名还是证书，有经验的老哥能介绍下嘛？谢谢。
首先是用了 afraid.org 的域名，用浏览器访问域名的 80 端口没问题，网页正常显示
然后使用了 lets encrypt 的证书添加 https，
上海电信用浏览器访问域名 443 端口没问题，正常显示小绿锁；
江苏移动则无法打开网页，看服务端日志 ssl 握手无法完成，ssl handshake failed, connection rest，看起来服务端和客户端都被中间人发了 RST 阻断。
因为手头没有其他证书无法排查这种阻断是针对域名还是证书，有经验的老哥能介绍下嘛？谢谢。
 |
1
kingfalse 2020-12-03 17:04:28 +08:00 via Android
阿里云，或者腾讯云嫖个免费证书用吧
|
 |
2
eGlhb2Jhb2Jhbw 2020-12-03 17:06:15 +08:00
阿里云白嫖 +1
|
 |
3
Nangle 2020-12-03 17:06:52 +08:00 via iPhone
换个证书再测，不就知道了
|
 |
4
warcraft1236 2020-12-03 17:07:03 +08:00
ocsp
|
 |
5
dayFvckingByte OP |
 |
6
Keyes 2020-12-03 17:09:28 +08:00 via iPhone
移动强中强了解一下
|
 |
7
madlifer 2020-12-03 17:11:46 +08:00  1
https://www.hostloc.com/thread-776364-1-1.html
现在不要用 lets, lets 目前还存在污染情况，去 freessl.cn 换一个去吧 回答你的问题，阻断是针对正式证书的 |
|
8
dayFvckingByte OP 更正 “ssl handshake failed, connection rest” =====> “ssl handshake failed, connection reset”，打错了。
|
 |
11
kerro1990 2020-12-03 17:31:26 +08:00
开启 OCSP Stapling 试试
|
 |
12
muzuiget 2020-12-03 19:48:26 +08:00
let's 证书没啥问题吧，江苏移动那种情况， 还不如先确定下 IP 就是你的域名 IP，connection rest，可能就在 TCP 层面已经被重置了，连 TLS 层都未到。
|
 |
13
lostberryzz 2020-12-03 19:53:47 +08:00
nginx 开启 ssl_stapling
|
 |
14
frankwils 2020-12-03 19:57:15 +08:00 1
"cn 域名的证书，肯定有后门，当心被监听"
今日笑断 J8 |
 |
15
INTEL2333 2020-12-03 20:02:16 +08:00 via Android
let's 最近新签发的那批 ocsp 正常吧？你找找你那边的问题
|
|
16
dayFvckingByte OP @muzuiget 前面半句是 ssl handshake failed……
|
|
17
dayFvckingByte OP @muzuiget 我知道你的意思了，但是如果不是我的 ip，服务端怎么会收到三次握手，中间人直接阻断即可，没必要再转给服务端吧？🤔
|
 |
18
elfsundae 2020-12-03 20:54:00 +08:00
国内用的话，放弃 lets 的证书吧，开 stapling 也不是完全不验证，阿里云腾讯云免费证书够用了，只是不支持泛域名，腾讯云现在好像限制一个域名的证书数量，不过限制数够大，一般够用了。
|
 |
19
love 2020-12-03 20:57:12 +08:00
听闻 lets 的要上 ssl stapling，否则 iOS 下有问题，chrome 没有。我的上了。比较简单，在 nginx 里设置一下，再接到那个开源的转发工具 https://github.com/virushuo/ocsp-proxy/
|
 |
20
zzzmh 2020-12-03 21:07:05 +08:00
换证书解决之，子域名多就多申请几张，我测过 IOS MAC 的 safari 全部不行 IOS 微信小程序也不行
|
|
21
dayFvckingByte OP @zzzmh 我的正好相反，上海电信的 safari 完全没问题😄
|
 |
22
stevenhawking 2020-12-03 21:36:44 +08:00
OCSP 被针对了. 建议考虑国产证书(CFCA/GEOTRUST CN)之类, 联系我可以到千元以内.
|
 |
23
Cheat 2020-12-04 02:46:22 +08:00
最便宜的、OCSP 服务器在中国的证书最便宜的多少钱
|
 |
24
ragnaroks 2020-12-04 10:01:50 +08:00 1
用科摩多的低端证书，一年单域名 4 刀，它的 OCSP 被污染的话，你绝对不是第一个跳出来的
|
|
25
dayFvckingByte OP @frankwils 其实当年的 cnnic 伪造谷歌签发 ca 证书监听用户搜索内容的事件还历历在目……
|
 |
26
ryanlid 2020-12-04 17:00:53 +08:00
|
|
27
ryanlid 2020-12-04 17:06:23 +08:00
使用 Let's Encrypt 证书，要在服务端开启 ssl_stapling，并且要保证服务端能无污染访问 ocsp 点 int-x3 点 letsencrypt 点 org （连续回贴不能带网址，晕）
否则 iOS，macOS 访问会很慢 |
|
28
dayFvckingByte OP @ryanlid 但是我不是慢的问题，而是 ssl 握手直接被 rst 了，应该和 ocsp 没关系吧？
|
|
29
ryanlid 2020-12-04 22:41:11 +08:00
@dayFvckingByte #28
噢，盲猜一下，应该是针对域名，比如 google，修改 hosts 访问, 被 reset 我自己的网站域名用 lets encrypt，是可以正常使用的 https://www.yidiankuaile.com/ |
Select Language