ssl - Opensips Tls 和证书问题

Question

我正在尝试在 opensips 中设置证书验证以及 blink sip 客户端。我遵循了教程:

https://github.com/antonraharja/book-opensips-101/blob/master/content/3.2.%20SIP%20TLS%20Secure%20Calling.mediawiki

我的配置是这样的:

[opensips.cfg]
disable_tls = no
listen = tls:my_ip:5061
tls_verify_server= 0
tls_verify_client = 1
tls_require_client_certificate = 1
#tls_method = TLSv1
tls_method = SSLv23
tls_certificate = "/usr/local/etc/opensips/tls/server/server-cert.pem"
tls_private_key = "/usr/local/etc/opensips/tls/server/server-privkey.pem"
tls_ca_list = "/usr/local/etc/opensips/tls/server/server-calist.pem"

所以我生成了 rootCA 和服务器证书。然后我在 server-calist.pem 中添加了 server-privkey.pem(否则闪烁 sip 客户端不会加载它)并将其设置在客户端中。我还在眨眼间将 server-calist.pem 设置为证书颁发机构。但是当我尝试登录到我的服务器时，我得到:

Feb  4 21:02:42 user /usr/local/sbin/opensips[28065]: DBG:core:tcp_read_req: Using the global ( per process ) buff
Feb  4 21:02:42 user /usr/local/sbin/opensips[28065]: DBG:core:tls_update_fd: New fd is 17
Feb  4 21:02:42 user /usr/local/sbin/opensips[28065]: ERROR:core:tls_accept: New TLS connection from 130.85.9.114:48253 failed to accept: rejected by client

所以我假设客户端出于某种原因不接受服务器证书，尽管我在我的 blink sip 客户端中关闭了“验证服务器”复选框!我想我有错误的证书颁发机构文件。

./user/user-cert.pem
./user/user-cert_req.pem
./user/user-privkey.pem
./user/user-calist.pem     <- this 4 are for using opensips as a client i think
./rootCA/certs/01.pem
./rootCA/private/cakey.pem
./rootCA/cacert.pem
./server/server-privkey.pem
./server/server-calist.pem
./server/server-cert.pem
./server/server-cert_req.pem
./calist.pem

任何人都可以帮忙，我是在配置上做错了什么还是我使用了错误的证书链？客户端究竟应该使用什么证书作为客户端证书和CA授权证书？

Answer 1

好吧，我仍然不确定它是否有效，因为授权行为变得很奇怪，但在它挂起 5-6 分钟后我获得了成功授权，所以这是一个解决方案:

生成rootCA:

opensipsctl tls rootCA

然后编辑 tls opensips 文件夹中的 server.conf 文件并设置 commonName = xxx.xxx.xxx.xxx 其中 xxx。 xxx.xxx.xxx 是您的服务器 ip 地址。可以以任何方式编辑其他变量。生成CA签名的证书

opensipsctl tls userCERT server

这将产生 4 个文件。下载server-calist.pem、server-cert.pem、server-privkey.pem。打开 server-privkey.pem，复制它的内容并粘贴到文件 server-cert.pem 中，在实际证书之前。如果您使用的是闪烁，则生成的 server-cert.pem 进入首选项->帐户->高级。 server-calist.pem 进入首选项-> 高级。重启 blink 后，5-6 分钟后您的帐户将被登录。但是我观察到一个奇怪的行为，如果您运行另一个 blink 副本并尝试登录另一个现有帐户之后 您是从第一个使用证书登录的，您可以从其他帐户登录而无需提供证书。所以我不知道，但我认为它在起作用。

附言我在 opensips 邮件列表中询问了证书，但我猜他们觉得我的问题太蹩脚了，所以我没有得到回复。如果您遇到同样的问题并获得更好的结果或从 opensips 支持部门得到答案，请告诉我。