1

Tengo un problema con los certificados SSL. Tengo un servidor con nginx y hace algún tiempo instale un web con sus certificados SSL, de hecho me ayudo un compañero de aquí, ya que según en que navegador me decia que era un sitio peligroso. Bien, pues ahora he metido la segunda web de la empresa en este mismo servidor, he descargado los certificados y metidos en la carpeta SSL del servidor.

El problema me lo encuentro que si un navegador no a entrado nunca a la primera web, le da error de seguridad y si entras de todos los modos de forma no segura, se me va a la segunda web.

Para que lo entendamos la primera web es: depildiodo.com y la segunda med-apolo.es.

Os paso los archivos .conf de los dos por si veis algo mal.

Aquí el archivo .conf de depildiodo:

server {
listen   80;

    server_name www.depildiodo.com depildiodo.com www.depildiodo.es depildiodo.es;
    return 301 https://depildiodo.com$request_uri;
}

server {
listen   443;

    server_name depildiodo.com; # Aquí va sin www


ssl    on;
ssl_certificate    /etc/ssl/depildiodo.com_completo.cer;
ssl_certificate_key    /etc/ssl/depildiodo.com_private_key_2.key;

 root /var/www/depildiodo;



 # Add index.php to the list if you are using PHP
 index index.html index.htm index.nginx-debian.html index.php;



location ~* \.(jpg|jpeg|png|gif|ico|svg)$ { expires 365d; } location ~* \.(css|js|pdf)$ { expires 30d; }
 location ~ ^/.well-known {
    allow all;
 }

 location / {
 # First attempt to serve request as file, then
 # as directory, then fall back to displaying a 404.
 try_files $uri $uri/ =404;
 error_page 405 = $uri;
 }

 # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
 #
 location ~ \.php$ {
 include snippets/fastcgi-php.conf;

 fastcgi_pass unix:/run/php/php7.2-fpm.sock;
 }

 error_page  404 /404.php;

 # deny access to .htaccess files, if Apache's document root
 # concurs with nginx's one
 location ~ /\.ht {
  deny all;
 }
}

Aquí el archivo .conf de med-apolo:

server {
listen   80;

    server_name www.med-apolo.es med-apolo.es;
    return 301 https://med-apolo.es$request_uri;
}

server {
listen   443;

    server_name med-apolo.es; # Aquí va sin www


ssl    on;
ssl_certificate    /etc/ssl/med-apolo.es.crt;
ssl_certificate_key    /etc/ssl/med-apolo.es.key;

 root /var/www/apolo;



 # Add index.php to the list if you are using PHP
 index index.html index.htm index.nginx-debian.html index.php;



location ~* \.(jpg|jpeg|png|gif|ico|svg)$ { expires 365d; } location ~* \.(css|js|pdf)$ { expires 30d; }
 location ~ ^/.well-known {
    allow all;
 }

 location / {
 # First attempt to serve request as file, then
 # as directory, then fall back to displaying a 404.
 try_files $uri $uri/ =404;
 error_page 405 = $uri;
 }

 # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
 #
 location ~ \.php$ {
 include snippets/fastcgi-php.conf;

 fastcgi_pass unix:/run/php/php7.2-fpm.sock;
 }

 error_page  404 /404.php;

 # deny access to .htaccess files, if Apache's document root
 # concurs with nginx's one
 location ~ /\.ht {
  deny all;
 }
}

1 respuesta 1

1

Tu problema está en esta sección:

server {
listen   443;

    server_name depildiodo.com; # Aquí va sin www
# ...

Ya que la zona segura está configurada para aceptar únicamente https://depildiodo.com, si cargas esa URL exacta te funcionará todo correctamente, pero si cargas https://www.depildiodo.com te cargará el sitio por defecto, que suele ser el primero en configurarse, y parece que no es el que no deseas, si no med-apolo.es ya que al cargar dicha URL me entrega el certificado cuyo CN es med-apolo.es

Ya que tienes un certificado comodín (*.depildiodo.com) deberías cambiar dicha línea por:

server_name www.depildiodo.com depildiodo.com www.depildiodo.es depildiodo.es;

Aquí tienes los datos de depuración para https://depildiodo.com:

$ openssl s_client -connect depildiodo.com:443 <<<"" | openssl x509 -noout -subject
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root CA
verify return:1
depth=1 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = Encryption Everywhere DV TLS CA - G1
verify return:1
depth=0 CN = *.depildiodo.com
verify return:1
DONE
subject=CN = *.depildiodo.com

Aquí tienes los datos de depuración para https://www.depildiodo.com:

$ openssl s_client -connect www.depildiodo.com:443 <<<"" | openssl x509 -noout -subject
depth=0 CN = med-apolo.es
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 CN = med-apolo.es
verify error:num=21:unable to verify the first certificate
verify return:1
DONE
subject=CN = med-apolo.es
8
  • Hola @OscarGarcia, justo tu me ayudaste con el de depildiodo. El fallo no puede deberse a que no se hacer lo que me hiciste de juntar el certificado intermedio? Edito no se entender lo que me pones, de certificado no entiendo nada
    – Miguel
    Commented el 20 feb. 2020 a las 7:17
  • ¿Podrías cambiar la línea que te indiqué para hacer la prueba? Todo apunta a que estás tratando de entrar a la web con el www delante, en cuyo caso se entrega un certificado que no es el correcto. Commented el 20 feb. 2020 a las 7:20
  • Lo cambio tanto para depildiodo como para apolo??
    – Miguel
    Commented el 20 feb. 2020 a las 7:21
  • Como quieras, por lo pronto hazlo con éste, que es el que te está dando problemas con el certificado. El otro parece que sólo está expedido para med-apolo.es, por lo que es probable que no funcione con subdominios (no he mirado los registros SAN). Edito: ya estoy seguro, no, no te funcionaría con el de med-apolo.es. Commented el 20 feb. 2020 a las 7:22
  • 1
    Vale ya lo he cambiado y he reiniciado el servidor con sudo service nginx restart
    – Miguel
    Commented el 20 feb. 2020 a las 7:23

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.