nginx反向代理的SSL握手问题

Question

我已经在预打包的jetty服务器前面安装了http反向代理。jetty服务器是预配置的应用程序，不太灵活。此Jetty服务器将只接受SSL请求。

我将nginx配置为使用自己的SSL证书在443上侦听SSL流量。然后在nginx后面，我在另一台运行jetty服务器的机器上有另一台服务器，在端口443上有自己的证书。

我的Nginx配置如下所示，

server 
{
    listen       443;
    server_name  _;
    ssl                  on;
    ssl_certificate      cc_net.pem;
    ssl_certificate_key  cc_net.key;

    ssl_session_timeout  5m;

    ssl_protocols  SSLv2 SSLv3 TLSv1;
    ssl_ciphers  ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
    ssl_prefer_server_ciphers   on;
    location /rest/api/box/get_user_info {
        proxy_pass https://fssdemo.cc.net/rest/api/box/get_user_info?external=true&server=$host;
   }
   location /rest/api/box/is_running {
        proxy_pass https://fssdemo.cc.net/rest/api/box/is_running;
   }
   location / {
        root   html;
        index  index.html index.htm;
    }
}

如果我在https上点击jetty服务器，就会得到一个502的坏网关。

错误日志报告：

2014/04/10 08:52:48[错误] 648#0：*1SSL_do_handshake（）失败（SSL：错误： 100AE081：椭圆曲线例程：EC_GROUP_new_by_curve_name：未知组错误： 1408D010： SSL例程：SSL3_GET_KEY_EXCHANGE： EC lib）而SSL握手到上游，客户端：172.16.9.140，服务器：_，请求："GET /rest/api/box/is_runningHTTP/1.1"，上游："https：//

我把

从上面我可以看出，这意味着从我的代理到jetty主机的ssl连接失败。

如果我在https和端口443上直接浏览到目标，那么它工作得很好。

我想知道其中一个是否能解决代理问题？但是，当连接到nginx的目标时，如何强制nginx使用ssl呢？

谢啦

Answer 1

错误可能是您的openssl公布的椭圆曲线比它支持的多，然后服务器选择了一个不受支持的椭圆曲线。看见https://bugzilla.redhat.com/show_bug.cgi?id=1019390。您需要升级openssl。