关于 V2EX 网站 SSL 证书的问题

[Gouweicao]

我安装了和 V2EX 网站一样的 AlphaSSL CA 证书，
在 ie 和 chorme 下都是受信任的证书，
但是在我的网站移动端比如 UC 提示过期或者不受信任。
而 V2EX 在移动端却没有这个提示，这是怎么回事？
有没有什么方法来解决一下这个问题？

[virusdefender]

证书链问题

[Pastsong]

证书链不全

https://ssllabs.com/

去这里检查一下

[Livid]

可能是部署的证书链不全或者不对，之前向 @Aveline 请教类似问题的时候他给了我一个很好用的网站：

https://certificatechain.io/

[Pastsong]

@Livid Nice one!

[pubby]

@Livid 最近也在调 ssl ciphers ，看 V2EX 在 ssllabs 测试兼容性和安全性比较好，方便透露一下 ssl ciphers 吗？

[tanywei]

mark 一下

[tanywei]

@pubby 哈哈 搞定了要分享下啊。

[pubby]

@tanywei 试了一些网上的推荐，到 A 或者 A+是容易的。但是兼容性做不到 V2EX 那样，我发觉不是我的设置问题，应该是 ssllabs 对国内网站的访问速度造成的，因为每次检测都是随机几个客户端失败，经常不一样。可能测试过程中丢包或超时引起的。而 V2EX 在 ssllabs 上的测试都是基于美国服务器的

[pubby]

@tanywei 目前是这样设置的

nginx:

ssl_certificate ssl.crt;
ssl_certificate_key ssl.key;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_dhparam /etc/nginx/dhparam.pem;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'AES128+EECDH:AES128+EDH:HIGH:!aNULL:!MD5';
ssl_prefer_server_ciphers on;


dhparam.pen 这样生成：
openssl dhparam -out dhparam.pem 2048

系统的 openssl 升级一下
nginx 我用的是 1.8 的，太老的话可能 Perfect Forward Secrecy 会有问题