Certificados autoassinados criam problemas no NGinx/PHP

Question 1

Pelo que entendi, o PHP 5.6 não permite aceitar, validar ou processar certificados autoassinados.

http://php.net/manual/en/migration56.openssl.php

Você tem que desabilitar a verificação de pares e nomes de pares

$streamContext = stream_context_create([
            'ssl' => [
                'verify_peer'      => false,
                'verify_peer_name' => false
            ]
        ]);

Isso não é trivial se você tentar fazer isso dentro de um pacote (que parece ser intencional), você não pode simplesmente definir alguns sinalizadores no php.ini ou qualquer coisa simples assim.

Answer

Pelo que entendi, o PHP 5.6 não permite aceitar, validar ou processar certificados autoassinados.

http://php.net/manual/en/migration56.openssl.php

Você tem que desabilitar a verificação de pares e nomes de pares

$streamContext = stream_context_create([
            'ssl' => [
                'verify_peer'      => false,
                'verify_peer_name' => false
            ]
        ]);

Isso não é trivial se você tentar fazer isso dentro de um pacote (que parece ser intencional), você não pode simplesmente definir alguns sinalizadores no php.ini ou qualquer coisa simples assim.

Question 2

500 não é possível conectar via tls

Isso não é muito útil para identificar onde está o problema - mas deve estar em algum lugar do código que presumivelmente você não mantém, portanto, alterar o código para fazê-lo funcionar deve ser o último recurso.

Seria útil saber qual ação desencadeia esse erro.

Como o único local em seu manifesto que menciona um certificado autoassinado é o servidor de e-mail, presumirei que é isso que está causando o problema aqui.

Tudo o que você precisa fazer é adicionar o certificado autoassinado às autoridades aceitas no host onde o aplicativo reside. Supondo (novamente) que o MTA esteja usando SMTPS:

openssl s_client -showcerts -connect servera.example.com:465 </dev/null

Fornecerá a cadeia de certificados. Copie a saída para (digamos) /etc/ssl/certs/lbutlr_local.crte executeupdate-ca-certificates

Answer