tomcat - tomcat 上的 verisign 证书不受远程服务器信任

Question

我正在通过 SSL 使用来自远程服务器的网络服务。

远程服务器有一个Tomcat FE。我们让 Verisign 签署了远程服务器证书，证书链是:

o:remote.server.comi:VeriSign Class 3 Secure Server CA - G3i:VeriSign Class 3 Public Primary Certification Authority - G5

我们将此证书添加到 Tomcat 的 keystore 中，还添加了 Verisign 的中间证书，其中:

o:VeriSign Class 3 Public Primary Certification Authority - G5i:Class 3 Public Primary Certification Authority

当我从我的服务器调用网络服务时，我得到一个 SSL 握手异常:

No trusted certificate found

在我服务器的 JVM cacerts 上，我有“3 类公共(public)主要证书颁发机构”，但没有“VeriSign 3 类公共(public)主要证书颁发机构 - G5 证书”。

如果我将“VeriSign Class 3 Public Primary Certification Authority - G5”证书添加到 jvm，那么我将不再收到异常。然而，据我所知，Tomcat 应该链接证书，以便当我的服务器获得远程证书时，它将看到“Class 3 Public Primary Certification Authority”作为根授权机构。

为什么这里没有发生这种情况？

Answer 1

我终于解决了这个问题。
似乎我们的服务器 keystore 安装了多个冗余证书。一旦我们删除了冗余证书并只剩下服务器证书和 ca-chain 证书，客户端就会收到完整的链，并且不再收到 SSL 握手异常。

Verisign 提供了一个工具来帮助我解决这个问题
https://ssl-tools.verisign.com/#certChecker