ubuntu - 除非使用 CApath 或 CAfile，否则无法验证 CA 证书

Question

由于信任问题，我无法让 OpenSSL 连接到服务器。我将 CA 证书放在 /etc/ssl/certs/ 上并运行 sudo c_rehash 可以看到已创建正确的文件。我可以看到 CA 证书在 ca-certificates.crt 中。但是，如果我运行:

openssl s_client -connect servername.domain.com:636

命令失败，验证返回码:21(无法验证第一个证书)

如果我这样做:

openssl s_client -connect servername.domain.com:636 -CApath /etc/ssl/certs/

我得到验证返回码:0(好的)

我该怎么做才能不必指定 CApath？

我正在使用 Ubuntu 13.04。

Answer 1

您还可以设置和导出环境变量 SSL_CERT_FILE 或 SSL_CERT_DIR...

export SSL_CERT_FILE=/path/to/ca_bundle.crt

export SSL_CERT_DIR=/path/to/ca/dir

那么您就不必在每个 openssl 命令中指定 CAfile 或 CApath。