主页 / server / 问题 / 1093641
Accepted
java_enthu
Asked: 2022-02-15 09:13:23 +0800 CST

基于 nginx 中的模式拒绝连接

  • 772

在 nginx.conf 中，我添加了一个 if 子句来过滤基于 cn 的 ssl 连接。

例如

map  $ssl_client_s_dn  $ssl_client_s_dn_cn {
    default "";
    ~/CN=(?<CN>[^/]+) $CN;
}

server {
    listen 80 default_server;
    server_name nginx-server;
    return 301 https://$server_name$request_uri;

    listen 443 ssl;
    listen [::]:443 ssl;
    
    server_name nginx-server;
    
    ssl_certificate /path/to/server/cert.pem
    ssl_certificate_key /path/to/nginx-server/privatekey.pem

    location / {

        if ($ssl_client_s_dn_cn !~ "client") {
            return 403;
        }
        root /usr/share/nginx/html;
        index index.html index.htm;
    }
}

现在从命令行我试图通过提供一个证书来卷曲，该证书的 DN 类似于C=GB,ST=London,L=City,O=MyOrg,OU=myOU,CN=client我得到 ​​403 错误。

我也尝试使用其他证书，无论证书 DN/CN 是什么，我注意到 Nginx 返回 403。在访问日志中，我尝试将$ssl_client_s_dn值记录在日志中，但它是空白的。

我从http://nginx.org/en/docs/http/ngx_http_ssl_module.html获取了参考

我在这里想念什么？

更新：

如果我对以下函数中的值进行硬编码以返回客户端，则效果很好：

map  $ssl_client_s_dn  $ssl_client_s_dn_cn {
default "client";

}

我注意到 ssl_client_s_dn 的值根据 nginx 日志可能为空白。是否与启用 ngx_http_ssl_module 模块有关？

我检查了$ nginx V我认为该模块已列出。

输出附加在图像中 在此处输入图像描述

不知道我错过了什么！请问有什么帮助吗？

谢谢，杰

nginx https

1 个回答

  1. Best Answer

    我设法修复它。在这里发布解决方案以防万一它可以帮助同一条船上的人。

    在我的配置中缺少位是ssl_verify_client optional；在我们指定之前，我了解到除非我们提及 ssl_verify_client 或可选，否则不会设置 $ssl_client_s_dn 变量。它将保持打印空白。

    事后看来，如果不启用客户端验证，服务器将对客户端客户端主题 DN 做什么是有道理的。但是，如果 nginx 日志会提到缺少的指令，我会更高兴。我不得不通过反复试验来弄清楚。但很高兴它终于奏效了。

    • 0

相关问题