Configuration correcte d'un serveur nginx "par défaut" pour https

J'ai réussi à configurer un hébergement dédié partagé sur une seule IP avec nginx. Le HTTP et le HTTPS par défaut servent un 404 pour les domaines inconnus entrants.

1 - Créer une zone par défaut

Étant donné que nginx charge les vhosts dans l'ordre ascii, vous devez créer un fichier 00-default ou un lien symbolique dans votre /etc/nginx/sites-enabled .

2 - Remplir la zone par défaut

Remplissez votre 00-default avec les vhosts par défaut. Voici la zone que j'utilise :

server {
    server_name _;
    listen       80  default_server;
    return       404;
}

server {
    listen 443 ssl;
    server_name _;
    ssl_certificate /etc/nginx/ssl/nginx.crt;
    ssl_certificate_key /etc/nginx/ssl/nginx.key;
    return       404;
}

3 - Créer un certificat auto-signé, tester, et recharger

Vous devrez créer un certificat auto-signé dans le fichier /etc/nginx/ssl/nginx.crt .

Créez un certificat auto-signé par défaut :

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/nginx/ssl/nginx.key -out /etc/nginx/ssl/nginx.crt

Juste un rappel :

• Testez la configuration de nginx avant de recharger/redémarrer : nginx -t
• Rechargez un plaisir : sudo service nginx reload

J'espère que cela vous aidera.

Vous n'avez pas de ssl_certificate ou ssl_certificate_key défini dans votre bloc https "par défaut". Bien que vous n'ayez pas ou ne vouliez pas de clé réelle pour ce scénario par défaut, vous devez quand même en configurer une, sinon nginx aura le comportement indésirable que vous décrivez.

Créez un certificat auto-signé avec un nom commun de * et insérez-le dans votre configuration pour qu'il fonctionne comme vous le souhaitez.

Si l'utilisateur ajoute le certificat en tant qu'exception, la connexion sera abandonnée par nginx et il verra le message d'erreur par défaut de son navigateur "impossible de se connecter".

Nous voulons essentiellement éviter à tout prix que la première définition de serveur dans notre fichier de configuration serve de serveur fourre-tout pour les connexions SSL. Nous savons tous que c'est ce qu'il fait (contrairement à http et à l'utilisation de la configuration default_server qui fonctionne bien).

Cela ne peut pas être réalisé de manière déclarative pour SSL (encore), nous devons donc le coder avec un IF...

La variable $host est le nom d'hôte de la ligne de demande ou de l'en-tête http. La variable $server_name est le nom du bloc de serveurs dans lequel nous nous trouvons actuellement.

Si les deux ne sont pas égaux, alors vous avez servi ce bloc de serveur SSL à un autre hôte, qui doit donc être bloqué.

Le code ne contient pas de références spécifiques aux adresses IP de votre serveur. Il peut donc être facilement réutilisé pour d'autres configurations de serveur sans modification.

Exemple :

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;

    ###
    ### Section: SSL

    #
    ## Check if this certificate is really served for this server_name
    ##   http://serverfault.com/questions/578648/properly-setting-up-a-default-nginx-server-for-https
    if ($host != $server_name) {
        #return 404 "this is an invalid request";
        return       444;
    }

    ...

Pour développer davantage la réponse de Radmilla Mustafa :

Nginx utilise l'en-tête "Host" pour faire correspondre le nom du serveur. Il n'utilise pas le SNI de TLS. Cela signifie que pour un serveur SSL, nginx doit être en mesure d'accepter une connexion SSL, ce qui revient à avoir un certificat/une clé. Le certificat/la clé peut être quelconque, par exemple auto-signé.

Voir documentation

La solution est donc :

server {
    server_name _;
    listen 80 default_server;
    listen 443 ssl default_server;

    ## To also support IPv6, uncomment this block
    # listen [::]:80 default_server;
    # listen [::]:443 ssl default_server;

    ssl_certificate <path to cert>;
    ssl_certificate_key <path to key>;
    return 404; # or whatever
}

Si vous voulez simplement vous assurer qu'aucune donnée n'est renvoyée, vous pouvez utiliser le snippet suivant sans certificats :

map "" $empty {
        default "";
}

server {
        listen 80 default_server;
        listen 443 ssl http2 default_server;
        listen [::]:80 default_server;
        listen [::]:443 ssl http2 default_server;

        server_name _;

        ssl_ciphers aNULL;
        ssl_certificate data:$empty;
        ssl_certificate_key data:$empty;

        return 444;
}