Bug 61335

Summary:	Предложение: заменить LibreSSL на OpenSSL в сборке
Product:	Branch p11	Reporter:	GenZmeY <genzmey>
Component:	angie	Assignee:	Anton Farygin <rider>
Status:	ASSIGNED ---	QA Contact:	qa-p11 <qa-p11>
Severity:	enhancement
Priority:	P5	CC:	amakeenk, genzmey, rider
Version:	unspecified
Hardware:	x86_64
OS:	Linux

Description

GenZmeY 2026-11-04 19:13:24 MSK

Встроенный acme клиент в angie предполагает использование переменных в директивах ssl_certificate и ssl_certificate_key (https://angie.software/angie/docs/configuration/acme/#acme-config-certbot)

В случае с пакетом из репы альта это приводит к такой ошибке:
[root@msk sites-available]# angie -t
angie: the configuration file /etc/angie/angie.conf syntax is ok
angie: [emerg] variables in "ssl_certificate" and "ssl_certificate_key" directives are not supported on this platform
angie: configuration file /etc/angie/angie.conf test failed

Судя по спеку и выводу angie -V сейчас он собирается с LibreSSL, и судя по этому топику: https://github.com/webserver-llc/angie/issues/123
Ровно из-за этого и проблема.

Пока что решил проблему установкой пакета из репы angie. Их бинарник использует OpenSSL.
Может есть смысл тоже собирать с OpenSSL?

Comment 1

Alexander Makeenkov 2026-11-05 08:46:45 MSK

Подтверждаю. Пакет angie 1.12.1-alt2 (актуален для p11 и Sisyphus — одна и та же сборка) собран с LibreSSL (BuildRequires: LibreSSL-devel, в %build жёстко прописаны пути ../libressl/build/include и ../libressl/build/lib), при этом модуль ACME включён (--with-http_acme_module).

Ограничение известное: переменные в ssl_certificate и ssl_certificate_key поддерживаются только при сборке с OpenSSL (см. https://github.com/webserver-llc/angie/issues/123). Таким образом, встроенный ACME-клиент в текущей сборке фактически непригоден для штатного сценария использования по документации (https://angie.software/angie/docs/configuration/acme/#acme-config-certbot): angie -t завершается ошибкой «variables in "ssl_certificate" and "ssl_certificate_key" directives are not supported on this platform».

Официальный бинарник angie собирается с OpenSSL, и там данная конфигурация работает.

Предложение: пересобрать пакет с системным OpenSSL (заменить LibreSSL-devel на openssl-devel, убрать пути к ../libressl/build/* из %build) в Sisyphus и пересобрать p11. Это дополнительно включает ряд фич, с LibreSSL неработоспособных: TLS 1.3 session reuse / early data, корректный OCSP stapling с sigalgs, ssl_encrypted_hello (ECH), ssl_keylog_file.