Nginx et tls, pourquoi négocie t'il le lien avec le premier domaine configuré ?

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Nginx et tls, pourquoi négocie t'il le lien avec le premier domaine configuré ?

Dryusdan

Bonjour
Désolé de ce titre peu clair, mais j'ai un soucis.
J'ai un container nginx qui me sert de reverse proxy, cependant, j'ai un soucis j'ai activé tlsv1 tlsv1_1 et tlsv1_2 sauf pour un service (il n'a que tlsv1_2)... Jusque là aucun soucis, j'ai bien les trois tls même pour le service où je n'en ai activé qu'un...
Surpris je décide de tester à coup de openssl s_client -connect miaou.drycat.fr:443 -tls1_1 et quelques choses me choque :

 0 s:/CN=drop.dryusdan.fr
   i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
 1 s:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
   i:/O=Digital Signature Trust Co./CN=DST Root CA X3

ça ce connecte au premier certificat présent sur le serveur, en gros les fichiers sites-enable d'nginx commence par d, donc drop...
Quelqu'un a déjà rencontré ça, qui a une solution ?
Merci d'avance 🙂

Flip

Bonne question, ça me fait la même chose et c'est parfois pénible si tu veux tester des trucs sans tls !
Un truc à tester serait de rajouter un vhost basic, sans redirection, tls et compagnie ... nommé 00_default.conf par exemple, pour que nginx lise celui la en premier et voir ce qui se passe.

Dryusdan

Flip mais si j'ecoute pas le 443 ça va pas aller dans le vhost, si ? 🙂

(Ou juste faire

Listen 80;
Server_name default;
Return 403

Listen 443;
Server_name default;
Return 40r

? )

Flip

Ouep je pensais a un quelque chose comme ça :

#/etc/nginx/sites-enabled/00_default.conf

server {
  listen                    80;
  server_name         _default;
}

Dryusdan

Flip mais pour le 443 alors? 🙂

Dryusdan

Alors, après avoir testé (le 443 m'embete car ça bug bien...) le SNI fonctionne avec la commande : openssl s_client -connect miaou.drycat.fr:443 -tls1_1 -servername miaou.drycat.fr

Maintenant j'ai desactivé tlsv1.1 et mis ces cyphers: ssl_ciphers EECDH+AESGCM:EECDH+AES; et la session me renvoie :

SSL-Session:
    Protocol  : TLSv1.1
    Cipher    : ECDHE-RSA-AES256-SHA

J'ai desactivé tlsv1.1 et tls1 sur la config drop (celle qui était chargé aussi et... RIEN A FAIRE ><) ça me sors ça je ne sais pas ou...
LibreSSL peut-être ?