参数 NeedClientAuth/WantClientAuth 设置为 true 的 ssl 失败，出现 javax.net.ssl.SSLHandshakeException : null cert chain/

Question

我已经将 xml 文件配置为

  <Call name="addConnector">
    <Arg>
      <New class="org.mortbay.jetty.security.SslSelectChannelConnector">
        <Set name="Host">
          <SystemProperty default="0.0.0.0" name="https.host"></SystemProperty>
        </Set>
        <Set name="Port">
          <SystemProperty default="0" name="https.port"></SystemProperty>
        </Set>
        <Set name="MaxIdleTime">60000</Set>
        <Set name="Acceptors">5</Set>
        <Set name="AcceptQueueSize">100</Set>
        <Set name="StatsOn">true</Set>
        <Set name="Keystore"><SystemProperty default="." name="java.config"></SystemProperty>/mykeystore.keystore</Set>
        <Set name="KeyPassword">password</Set>
        <Set name="Password">password</Set>
        <Set name="NeedClientAuth">true</Set>
        <Set name="WantClientAuth">true</Set>
      </New>
    </Arg>
  </Call>

当 NeedClientAuth 设置为 false 时，我可以打开 https://server.com:50881/admin/

如上述参数所示，当 NeedClientAuth 设置为 true 时，它​​会失败并出现错误

259498 2014-04-23 12:02:23,881 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLHandshakeException: null cert chain
260138 2014-04-23 12:02:24,521 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLHandshakeException: null cert chain
260689 2014-04-23 12:02:25,072 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLProtocolException: handshake alert: no_certificate

我已将根/中间/签名证书添加到服务器 keystore 我也已经在客户端IE浏览器中添加了root/intermediate

问题如有配置错误请指教并正确运行命令以创建 keystore 并安装来自 CA 的签名证书

Created keystore keytool -keystore serverdns.keystore -alias server -genkey -keyalg RSA -keysize 2048

create CSR keytool -certreq -alias server -keystore serverdns.keystore -file server.csr

installing signed certificate keytool -import -trustcacerts -alias server -keystore serverdns.keystore -file signedcert.der.cer

Answer 1

这意味着客户端无法提供您服务器的信任库所信任的证书，因此它没有发送证书消息。当服务器请求客户端证书时，它还会发送可接受的签名者列表，并且客户端只能发送由其中一个签名者签名的证书，或者发送指向此类证书的链。

如果客户端有自签名证书，通常会发生这种情况。在这种情况下，您需要从他的 keystore 中导出客户端的证书并将其导入到您服务器的信任库中。

<Set name="NeedClientAuth">true</Set>
<Set name="WantClientAuth">true</Set>

设置这两个没有任何意义。它们是相互排斥的。如果您这样做，NeedClientAuth 可能优先。