ssl - NGINX:每个域共享多个 ssl_certificate 的

Question

是否可以让每个域使用多个 ssl 证书？当我用谷歌搜索时，the top result is an article关于如何为两个域设置两个 ssl_certificates，但每个域都绑定(bind)到一个 ssl_certificate。有没有办法让每个证书都绑定(bind)到多个证书？我希望它工作的方式是尝试使用第一个 ssl 证书，如果失败，则尝试使用第二个，如果不起作用，则回退到其他选项。我们尝试使用文章中的技术进行此操作，但是当我们这样做时，nginx 给了我们这个警告:

2016/12/30 20:31:41 [warn] 186#186: conflicting server name "domain1" on 0.0.0.0:443, ignored
nginx: [warn] conflicting server name "domain1" on 0.0.0.0:443, ignored
2016/12/30 20:31:41 [warn] 186#186: conflicting server name "domain2" on 0.0.0.0:443, ignored
nginx: [warn] conflicting server name "domain2" on 0.0.0.0:443, ignored

我们为什么要这样做？ ssl_certificate 是指允许访问一个入站域的文件，我们还希望 nginx 允许从另一个域访问。我不太了解 ssl/证书。有没有一种简单的方法来修改 ssl_certificate 以允许多个域？这将是这个问题的替代解决方案。

Answer 1

TLS 握手中只有一个叶证书。如果此证书的验证失败，则握手将失败。虽然许多浏览器将使用较低协议(protocol)的 TLS 版本重试，作为对损坏服务器的回退，但这并不旨在用于提供不同的证书。除此之外，几乎没有浏览器之外的 TLS 实现实现这种回退。

因此服务器不支持在单个主机配置中提供多个叶证书。他们通常支持为不同的子域使用不同的证书，并且也可以使用不同的证书(即不同的 IP 地址或端口)为同一域使用不同的服务器。在较新的服务器中，单个配置也可能同时允许 RSA 和 ECC 证书(即 ECDSA 身份验证)，但在这种情况下，服务器将根据客户端支持的密码简单地选择相关证书，并且仍将仅发送一个叶证书.