ssl - Logstash-forwarder 在使用带有 SubjectAltName 的自签名证书时说证书由未知授权机构签名

Question

我正在尝试使用 logstash-forwarder 连接到 logstash。他们的通信基于 ssl，所以我生成一个自签名证书如下 this .然后我在 logstash-forwarder 端收到此错误消息:

Failed to tls handshake with 9.21.61.19 x509: certificate signed by unknown authority (possibly because of "x509: invalid signature: parent certificate cannot sign this kind of certificate" while trying to verify candidate authority certificate "*.*.*.*.*")

如果我生成没有主题替代名称的证书，它将起作用。工作证书可以通过以下方式生成:

openssl req -x509 -batch -nodes -newkey rsa:2048 -keyout lumberjack.key -out lumberjack.crt -subj /CN=*.*.*.*.*

但我希望做的是生成一个可以在不同类型的主机上使用的证书。为此，我想生成一个 CN=*.*.*.*.* 的 ssl 证书，然后 alt 名称包括 *、*.*、*.*.* 等。

关于如何克服这个 ssl 错误有什么建议吗？或者有更好的方法让 logstash-forwarder 可以在各种环境中工作？

Answer 1

事实证明，当我删除

keyUsage = digitalSignature, keyEncipherment

在 [ v3_ca ] 中，在 guide 中询问，生成的证书适用于各种主机名。

这可能不是 SSL 的正确场景。但对于 logstash/logstash-forwarder 情况，它确实有帮助。