ssl - 仅来自某些服务器的链中自签名证书

Question

我在现场使用多个英特尔 NUC 来显示数字标牌。在我在该领域的数千人中，有一对夫妇提示这个错误:

SSL certificate problem: self signed certificate in certificate chain. More details here: http://curl.haxx.se/docs/sslcerts.html, curl performs SSL certificate verification by default, using a "bundle" of Certificate Authority (CA) public keys (CA certs). If the default bundle file isn't adequate, you can specify an alternate file using the --cacert option. If this HTTPS server uses a certificate signed by a CA represented in the bundle, the certificate verification probably failed due to a problem with the certificate (it might be expired, or the name might not match the domain name in the URL). If you'd like to turn off curl's verification of the certificate, use the -k (or --insecure) option.

已确认证书未过期，且域名匹配

这些单元在 Debian 7 上运行

他们所在的网络是否会通过某种防火墙设置导致此问题？

Answer 1

当您访问该网站时，网络浏览器中显示的是什么证书？在您的 curl bundle 中，是应该用于 SSL 加密的同一个证书吗？我想不会。 CA 将签署您的 cert.pem，以便网络浏览器将显示您的绿色锁，从而验证您的网站。您的 curl 包的配置很可能在后端有问题。您需要确保您的服务器使用的是 CA 证书，而不是像 ssl-cert-snakeoil.pem 这样的自签名证书。

本质上，您的网站应该使用静态 IPv4 地址。至于网络防火墙可能会阻止 SSL 握手的发生，我已经看到它发生在特定端口上，例如用于 ssh 连接的端口 22 可能在尝试连接的客户端计算机上的入站流量的网络网关处被阻止到服务器。 SYN/ACK https://tools.ietf.org/rfc/rfc793.txt在那种类型的网络防火墙情况下，TCP 握手可能会超时。但是，由于您从服务器获得了关于自签名证书的明确响应，因此防火墙问题似乎不是问题所在。