ssl - 使用 Nginx 的 https SSL 证书验证使用自定义构建的 libcurl+openssl 失败，但适用于系统 curl

Question

我正在使用 libcurl 通过 https 与两个独立的 Web 服务器通信。

第一台服务器在 64 位 Ubuntu 10.04 上运行 Lighttpd 1.4.26-1。 Lightty 是针对 openssl 版本 0.9.8k 构建的。

第二台服务器在 32 位 Ubuntu 10.04 上运行 Nginx 0.7.65。 Nginx 是针对 openssl 版本 0.9.8k 构建的。

这两个服务器使用相同的证书，并且 DNS 在它们之间循环使用。我使用/etc/hosts 来管理我正在访问的两个中的哪一个。

我使用的是针对 openssl 1.0.0c 构建的 libcurl 版本 7.21.2。

这样，libcurl 就可以成功地向 lightty 服务器发出 https 请求，但不能向 nginx 服务器发出请求。我可以使用 curl 命令行界面复制它。这是 curl -v 的输出:

* About to connect() to <hostname> port 443 (#0)
*   Trying <ip>... connected
* Connected to <hostname> (<ip>) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: cadata
  CApath: none
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS alert, Server hello (2):
* SSL certificate problem, verify that the CA cert is OK. Details:
error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
* Closing connection #0
curl: (60) SSL certificate problem, verify that the CA cert is OK. Details:
error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

如果我在同一系统上使用旧版本的 curl(7.19.7 和 openssl 0.9.8l)，则相同的请求有效:

* About to connect() to <hostname> port 443 (#0)
*   Trying <ip>... connected
* Connected to <hostname> (<ip>) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: certdata
  CApath: none
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS handshake, Server key exchange (12):
* SSLv3, TLS handshake, Server finished (14):
* SSLv3, TLS handshake, Client key exchange (16):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSL connection using DHE-RSA-AES256-SHA
* Server certificate:

我认为这与较新版本的 curl 和/或 openssl 有关，因此我使用相同的版本和启用的选项重建了我的 curl 和 libcurl:

Broken (my build):
seldon:bin ryanowen$ ./curl -V
curl 7.19.7 (i386-apple-darwin10.7.0) libcurl/7.19.7 OpenSSL/0.9.8l zlib/1.2.3
Protocols: tftp ftp telnet dict ldap http file https ftps 
Features: GSS-Negotiate IPv6 Largefile NTLM SSL libz 

Works (system version):
seldon:bin ryanowen$ /usr/bin/curl -V
curl 7.19.7 (universal-apple-darwin10.0) libcurl/7.19.7 OpenSSL/0.9.8l zlib/1.2.3
Protocols: tftp ftp telnet dict ldap http file https ftps 
Features: GSS-Negotiate IPv6 Largefile NTLM SSL libz 

不幸的是，这似乎没有什么不同。我的 curl 构建仍然失败(但仅在与 nginx 服务器通信时)，而系统构建当然仍然有效。

导致 SSL 握手失败的 libcurl 构建有何不同？是否有任何选项未反射(reflect)在我需要启用的 -V 输出中？我应该研究 Nginx 方面的任何事情吗？

Answer 1

终于在Nginx这边发现了问题。 Nginx 配置引用了服务器证书和 key ，但没有引用 CA 包。将 CA bundle 连接到服务器证书文件的末尾似乎已经解决了问题。

我提供给 libcurl 的 CA 数据包括 CA 证书，但不包括链中的其他一些证书。我猜系统 curl 一定把这些证书藏在了某个地方。