9

クライアント証明書機能を使用して、https で debian パッケージを提供するためにnginx(1.1.9)を使用しています。

listen 443 ssl;

 ...

 ssl_certificate     /etc/ssl/ca.chain.crt;
 ssl_certificate_key /etc/ssl/server.key;
 #ssl_crl             /etc/ssl/ca-crl.pem;
 ssl_client_certificate  /etc/ssl/ca.pem;
 ssl_verify_client   on; 
 ssl_verify_depth 2;   
 ssl_protocols SSLv2 SSLv3 TLSv1 TLSv1.1;

 ...

 error_log /var/log/nginx/error.log debug;
 ...

reprepro を使用して apt リポジトリを構成します。エラーなしでこのリポジトリに apt-get update を使用できますが、失効リストを使用するために ssl_crl をコメントアウトすると、ログが表示されます。

client SSL certificate verify error: (3:unable to get certificate CRL) while reading client request headers, client: xxx.xxx.xxx.xxx, server: apt.myrepo.com, request: "GET /ubuntu/dists/precise/non-free/i18n/Translation-en HTTP/1.1", host: "apt.myrepo.com"

nginx が証明書失効リストを見つけられる理由がわかりません。

4

1 に答える 1