作者热门文章
- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
我正在尝试将新的 SSL 证书安装到 Traefik 中。我的证书由第三方 (Setigo) 签名,并随链一起提供给我:
-----BEGIN CERTIFICATE-----
[[SNIP - Root CA]]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[[SNIP - Intermediate CA]]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[[SNIP - Intermediate CA]]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[[SNIP - MyServer Cert]]
-----END CERTIFICATE-----
链中的最后一个证书与单个证书匹配。当我将该证书和相应的 key 传递给 Traefik 时,出现以下错误:
failed to load X509 key pair: tls: private key does not match public key
在线研究,我发现这些命令可以验证证书和私钥的公钥/模数
openssl rsa -modulus -noout -in myserver.key | openssl md5
openssl x509 -modulus -noout -in myserver.crt | openssl md5
当我针对链式证书运行此命令时,结果不匹配。当我针对它匹配的个人证书运行它时。
我不能使用个人证书,因为它不是由受信任的根签名的,所以在使用 OpenSSL s_client 时出现以下错误:
openssl s_client -connect myserver:443 -showcerts
verify error:num=20:unable to get local issuer certificate
verify error:num=21:unable to verify the first certificate
我在这里绞尽脑汁,我错过了什么???
最佳答案
你的链错了。您需要反转它并删除根 CA 证书。
服务器认为根 CA 是主证书,它正在尝试根据根 CA 证书加载私钥,这就是您看到消息的原因。
也不需要根 CA,因为它应该始终在客户端 CA 列表中,因此您将 CA 证书发送给客户端,客户端将忽略它。
即
-----BEGIN CERTIFICATE-----
[[SNIP - MyServer Cert]]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[[SNIP - Intermediate CA]]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[[SNIP - Intermediate CA]]
-----END CERTIFICATE-----
关于ssl - 捆绑的 SSL 证书公钥与私钥公钥不匹配,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/60972859/
我是一名优秀的程序员,十分优秀!