ssl_certificate vs. ssl_trusted_certificate

Если я ничего не путаю то он должен как минимум указывать на сертификат твоего УЦ

Сейчас там корневой сертификат и сертификат второго уровня, но видимо этого недостаточно

ssl_trusted_certificate /etc/letsencrypt/live/YOUR_DOMAIN/chain.pem;
ssl_certificate /etc/letsencrypt/live/YOUR_DOMAIN/fullchain.pem;

Попробуй как-то так. В свое время тоже намучался, пока разобрался какие файлы подставлять. Дело именно в файлах, как нужные пропишешь, все заработает.

Так а в чём подвох то, не пойму?
fullchain это ROOT + 2 уровень + мой
chain это ROOT + 2 уровень
так?

Да так всё, без подвоха.
Сертификат выпускал с поддержкой степлинга?
OCSP Must Staple — ssllabs у сертификата должен показать Supported.

Сертификат выпускал с поддержкой степлинга?

OH SHI, я думал по дефолту всё должно работать.
Вариант описанный выше я тоже пробовал - всегда получаю
«OCSP Must Staple No»

Ты не сказал где сертификат делал.
Если у LE, то посмотри в конфиге у него, там должен быть крыжик.
Я не пользуюсь официальным, но в дегидратном конфиге написано так:
grep OCSP /etc/dehydrated/config
# Option to add CSR-flag indicating OCSP stapling to be mandatory (default: no)
OCSP_MUST_STAPLE=«yes»
То есть «no» по умолчанию.

Сертификат от GlobalSign.

Option to add CSR-flag indicating OCSP stapling to be mandatory

Честно говоря не очень понятное описание.
Я бы предположил, что этот флаг говорит об обязательности, а не о поддержке

SSL checker от Comodo имеет два отдельных пункта
OCSP «Stapling» Not Supported
Must Staple? (TLS Feature) No

Я не силён в английской филологии. Требование степлинга можно убрать из конфига nginx. Но, скорее всего ты прав, а я нет. Сейчас ещё один сайт погоняю, там сертификат комодовский. PS: я просто исхожу из логики, что если у сертификата стоит флаг маст степл, то поддержка должна быть наверняка.

У моего комодовского
OCSP «Stapling» Supported
Must Staple? (TLS Feature) No
Степлинг работает.
Так что по первому пункту я угадал, а по второму соврал. Прошу прощения.

Чот у меня со связностью до респондера началось, видимо в этом причина, пока буду чинить
OCSP responder timed out (110: Connection timed out) while requesting certificate status, responder: ocsp2.globalsign.com

Слушай, вот честно, уже не помню. Мне даже показалось, что название не соответствует содержанию :). LetsEncrypt-овская утилита создает 4 файлика. Если пришлилишь имена так как сказал, все будет пучком. Подробности, к сожалению, не подскажу.

В свое время тоже намучался, пока разобрался какие файлы подставлять

Вот тут инфа есть.