Nginx "ssl_stapling"は無視され、証明書にOCSPレスポンダURLがありません

Question

NginxでOCSPステープルを設定しようとしています。テストを実行したところ、アイデアが示唆されたので、ご存知のとおりです。

https://sslcheck.globalsign.com/en_GB/sslcheck?host=aj2jewellers.co.uk#176.58.103.165

エラーが発生します：

nginx: [warn] "ssl_stapling" ignored, no OCSP responder URL in the certificate

これが私の.confの関連ビットです

server {
# use Google's DNS
resolver 8.8.4.4 8.8.8.8 valid=300s;
resolver_timeout 10s;

ssl_stapling on;
ssl_stapling_verify on;
## verify chain of trust of OCSP response using Root CA and Intermediate certs
ssl_trusted_certificate /pathtossl/www.aj2jewellers.co.uk.crt;
}

Answer 1

Ssl_trusted_certificateオプションは、署名付き証明書ではなく、ルート証明書とCAのすべての中間証明書を指す必要があります。これは、NGINXのドキュメント http://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_stapling_verify で明らかにされています。その他の構成例については、 https://blog.kempkens.io/posts/ocsp-stapling-with-nginx/ を参照してください