proxy_pass先にも元のドメインの証明書を割り当てたい

Question

前提・実現したいこと

現在、example.comとsub1.example.comを用意しています。
それぞれにLet's Encryptの証明書を割り当てています。

基本的にはsub1.example.comへアクセスします。
nginx.confには
location / {
proxy_pass http://backend;
}
upstream backend {
server xxx.xxx.xxx.xxx:yyyy;
keepalive zz;
}

sub1.example.comにアクセスした時、
証明書はexample.comに発行した物なのでいわゆる「なりすまし」状態になってしまいます。

強引にやれば、
example.comに対し、sub1.example.comの証明書を割り当てれば、
sub1.example.comは使えますが、example.comでのhttps接続はだめになります。

sub1.example.comでxxx.xxx.xxx.xxx:yyyyに行った時も、
sub1.example.comの証明書を継承することはできないでしょうか？

発生している問題・エラーメッセージ

エラーコード: SSL_ERROR_BAD_CERT_DOMAIN

試したこと

example.comの証明書の切り替え。使用する度に切り替える。
proxy_pass https://backend; -> これはだめ。
proxy_set_header X-SSL-CERT $ssl_client_escaped_cert; -> これもだめ。

補足情報（FW/ツールのバージョンなど）

CentOS7.5 / Nginx 1.13.8

Answer 1

サーバに問題があったらしく？
再構築し直したら適用できました。

Answer 2

サーバーの設定等の具体的な情報がないので、一般論になりますが...

---

それぞれにLet's Encryptの証明書を割り当てています。

バックエンドにも 同じドメインのサブドメインを割り当てて、ドメイン名でアクセスするようにして、「ワイルドカード証明書」や「SAN証明書」を利用すれば良いのではないでしょうか？

Let's Encrypt FAQ にも下記のような記載があり、対応した証明書を発行できます。

Can I get a certificate for multiple domain names (SAN certificates or UCC certificates)?

Yes, the same certificate can contain several different names using the Subject Alternative Name (SAN) mechanism.

　

Does Let’s Encrypt issue wildcard certificates?

Yes. Wildcard issuance must be done via ACMEv2 using the DNS-01 challenge. See this post for more technical information.