在具有有效证书的nginx中，Chrome非隐身模式和本地Firefox中出现NET::ERR_CERT_AUTHORITY_INVALID错误

Question

几周前，我们对我们的cookie实施了SameSite cookie策略。如果我想在本地开发，我需要一个证书来获取cookie。

我们运行一个Node express服务器，并将其反向代理到一个nginx配置中，在那里我们添加了证书。

# Server configuration
#
server {
    listen 443;
    server_name test-local.ad.ourdomain.com;
    ssl_certificate           /home/myname/.certs/ourcert.crt;
    ssl_certificate_key       /home/myname/.certs/ourkey.rsa;
    ssl on;
    ssl_session_cache  builtin:1000  shared:SSL:10m;
    ssl_protocols  TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4;
    ssl_prefer_server_ciphers on;
    location / {
        proxy_set_header        Host $host;
        proxy_set_header        X-Real-IP $remote_addr;
        proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header        X-Forwarded-Proto $scheme;
        proxy_pass          http://localhost:9090;
        proxy_read_timeout  90;
        proxy_redirect      http://localhost:9090 https://test-local.ad.ourdomain.com;
    }
}

现在进入奇怪的部分。我们今天更新了Chrome 80，突然间我遇到了一个HSTS问题。即使我想访问网站（没有选择加入的可能性），我也无法访问它。我尝试在chrome://internals/#hsts中清除它，这起作用了。但是，我仍然会收到NET::ERR_CERT_AUTHORITY_INVALID错误，但现在我有了选择加入的替代方案。

从Chrome隐身模式访问它非常顺畅，没有任何问题。同样在Firefox上也没有问题。它显示证书有效，绿色漂亮。在这里也进行了检查：https://www.sslshopper.com/certificate-decoder.html，并且100％绿色。

我正在使用Regolith的Ubuntu 19.10。

我的同事们使用相同的证书，也是Chrome 80，但他们在Mac上运行，在Chrome上没有问题。

有什么想法吗？我尝试清除浏览器设置，但没有改变。

- petur

---

同样的问题出现在我们的一个公共网站上。常见细节：Chrome 80，Ubuntu 18.04。同样的症状：Firefox正常，Chrome隐身模式正常，Chrome不正常。您下面的解决方案指出我们有一个链接错误配置；正在等待IT修复。谢谢。 - studog

我很高兴它有所帮助。这可能是Chrome 80在Ubuntu上的一个bug导致了这个问题。或者他们是否过早地引入了更严格的安全设置？ - petur

我查看了他们的git日志，没有看到任何具体的东西。这似乎是以前被忽略的问题现在不再被忽略的类问题。可能是某些其他更改的副作用。不知道为什么只出现在Ubuntu（或Linux）上。 - studog

Answer 1

我有一个好消息！

我们在云开发环境使用相同的证书（但它们是PFX格式）。如前所述，我在本地运行Linux，并且必须将PFX转换为RSA文件和CRT文件。

我在此网站上输入了我们的开发域：https://whatsmychaincert.com/，然后下载了一个*.chain.crt文件。用我的旧CRT文件和这个命令一起： cat example.com.crt example.com.chain.crt > example.com.chained.crt 在Nginx中，我引用了 .chained.crt 文件。

现在，Chrome接受我的本地安全网页。

- petur

Answer 2

我们遇到了同样的问题，并按照 petur的解决方案进行了修复。

- matteplus

---

你应该考虑给我的答案点赞，也许留下评论。然而这是错误的。 - petur

抱歉@petur，我无法在您的回答中进行评论。只是想确认一下，我意识到我的回答不是很清楚，希望现在可以了。 此外，我已经为您的回答点赞了。 - matteplus