我们使用 nginx 作为 gitblit 的反向代理,并进行客户端证书认证。
给定如下的 nginx 配置。
server {
listen 443 ssl http2 default_server;
server_name _;
charset utf-8;
ssl_certificate D:\cert.pem;
ssl_certificate_key D:\key.pem;
ssl_session_cache off;
ssl_session_timeout 1h;
ssl_buffer_size 8192;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_client_certificate D:\Program\GitBlit\gitblit-1.8.0\data\certs\ca.pem;
ssl_verify_client optional;
ssl_prefer_server_ciphers on;
proxy_intercept_errors on;
location /git {
proxy_pass https://127.0.0.1:1111;
proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_ssl_verify off;
proxy_ssl_name $host;
proxy_ssl_server_name on;
proxy_ssl_session_reuse off;
}
}
使ssl_verify_client optional;
Web 客户端在导航到 https://my_server/git 时需要客户端证书。但我收到 502 bad gateway 错误。nginx 错误日志如下所示,gitblit 中未显示任何错误日志。
2023/10/25 14:48:14 [error] 29404#2072: *43 peer closed connection in SSL handshake while SSL handshaking to upstream, client: 127.0.0.1, server: _, request: "GET /git/ HTTP/2.0", upstream: "https://127.0.0.1:1111/git/", host: "127.0.0.1"
我已经确保如果我导航到https://127.0.0.1:1111/git并提供相同的客户端证书,身份验证工作正常。gitblit SSL 证书由自签名 CA 签名到 my_server(ssl_client_certificate 的 D:\Program\GitBlit\gitblit-1.8.0\data\certs\ca.pem)。
这是因为 nginx 无法识别来自 gitblit 的 SSL 证书还是无法通过客户端证书进行身份验证?