ssl - 尝试在 Rsyslog 服务器上设置 TLS，s_client 连接但未获得证书，挂起

Question

我正在尝试使用各种教程在 rsyslog 服务器上设置 TLS，包括 rsyslog 的官方文档:http://www.rsyslog.com/doc/v8-stable/tutorials/tls.html .

我正在运行 rsyslog-8.33.1 以及相同版本的 rsyslog-gnutls。操作系统是 ec2 上的 amazon linux v2017.09。

由于我使用的特定系统日志客户端不适用于自签名证书，因此我使用我们域的 CA 进行签名。我已经设置了 key 、证书并获取了 CA 链(因为根有中间证书)并像许多教程告诉我的那样设置 rsyslog.conf:

# RsyslogGnuTLS
$DefaultNetstreamDriver gtls

$DefaultNetstreamDriverCAFile /etc/pki/tls/CA-chain.crt
$DefaultNetstreamDriverCertFile /etc/pki/tls/<hostname>.crt
$DefaultNetstreamDriverKeyFile /etc/pki/tls/<hostname>.key
$ActionSendStreamDriverMode 1 # TLS mode only
$ActionSendStreamDriverAuthMode x509/name
$ActionSendStreamDriverPermittedPeer *
$InputTCPServerRun 6514

并让 rsyslog 毫无怨言地启动(在一些 kerjigering 之后)。

这是一个向世界开放端口 6514 的 ec2 主机。现在，我正在使用 openssl s_client 进行测试，但我无法从机器上获取证书。

[me@my_host ~]$ openssl s_client -connect ec2-<ip>.us-west-2.compute.amazonaws.com:6514
CONNECTED(00000003)

(hangs)

... 它永远空白地卡在那里，直到我杀死 rsyslog 服务器，此时它出错并显示“没有可用的对等证书”。

我知道 rsyslog 服务器可以正常工作。当双方都关闭 TLS 时，它从 syslog 客户端获取 6514 上的日志。

我已经尝试了 rsyslog.conf 中几乎所有的变量组合，但我已经束手无策了。我也尝试过使用机器随附的/etc/pki/tls/certs 中的 cert/key/CA 包，没有骰子。

Answer 1

弄清楚了，我使用了错误的变量 - 客户端变量而不是服务器端变量，它们在两端看起来很相似。我应该一直在使用

$InputTCPServerStreamDriverAuthMode x509/name
$InputTCPServerStreamDriverPermittedPeer *
$InputTCPServerStreamDriverMode 1

在服务器上而不是

$ActionSendStreamDriverAuthMode x509/name
$ActionSendStreamDriverPermittedPeer *
$ActionSendStreamDriverMode 1. 

只需要用新鲜的眼光来看它。