关于 Let's Encrypt 证书在大陆访问的问题

[dayFvckingByte]

在境外 vps 上搭了静态的 http server （ ngnix ）测试

首先是用了 afraid.org 的域名，用浏览器访问域名的 80 端口没问题，网页正常显示
然后使用了 lets encrypt 的证书添加 https，
上海电信用浏览器访问域名 443 端口没问题，正常显示小绿锁；
江苏移动则无法打开网页，看服务端日志 ssl 握手无法完成，ssl handshake failed, connection rest，看起来服务端和客户端都被中间人发了 RST 阻断。

因为手头没有其他证书无法排查这种阻断是针对域名还是证书，有经验的老哥能介绍下嘛？谢谢。

[kingfalse]

阿里云，或者腾讯云嫖个免费证书用吧

[eGlhb2Jhb2Jhbw]

阿里云白嫖 +1

[Nangle]

换个证书再测，不就知道了

[warcraft1236]

ocsp

[dayFvckingByte]

@kingfalse
@eGlhb2Jhb2Jhbw
还有这种好事，我去看看😂

[Keyes]

移动强中强了解一下

[madlifer]

https://www.hostloc.com/thread-776364-1-1.html
现在不要用 lets, lets 目前还存在污染情况，去 freessl.cn 换一个去吧

回答你的问题，阻断是针对正式证书的

[dayFvckingByte]

更正 “ssl handshake failed, connection rest” =====> “ssl handshake failed, connection reset”，打错了。

[mepwang]

@madlifer cn 域名的证书，肯定有后门，当心被监听

[madlifer]

@mepwang 怕的话去买福满多的证书好了，亚洲诚信的垃圾证书也就那回事儿，付费证书能不拖慢你网站速度

[kerro1990]

开启 OCSP Stapling 试试

[muzuiget]

let's 证书没啥问题吧，江苏移动那种情况， 还不如先确定下 IP 就是你的域名 IP，connection rest，可能就在 TCP 层面已经被重置了，连 TLS 层都未到。

[lostberryzz]

nginx 开启 ssl_stapling

[frankwils]

"cn 域名的证书，肯定有后门，当心被监听"
今日笑断 J8

[INTEL2333]

let's 最近新签发的那批 ocsp 正常吧？你找找你那边的问题

[dayFvckingByte]

@muzuiget 前面半句是 ssl handshake failed……

[dayFvckingByte]

@muzuiget 我知道你的意思了，但是如果不是我的 ip，服务端怎么会收到三次握手，中间人直接阻断即可，没必要再转给服务端吧？🤔

[elfsundae]

国内用的话，放弃 lets 的证书吧，开 stapling 也不是完全不验证，阿里云腾讯云免费证书够用了，只是不支持泛域名，腾讯云现在好像限制一个域名的证书数量，不过限制数够大，一般够用了。

[love]

听闻 lets 的要上 ssl stapling，否则 iOS 下有问题，chrome 没有。我的上了。比较简单，在 nginx 里设置一下，再接到那个开源的转发工具 https://github.com/virushuo/ocsp-proxy/

[zzzmh]

换证书解决之，子域名多就多申请几张，我测过 IOS MAC 的 safari 全部不行 IOS 微信小程序也不行