使用自定义构建的 libcurl+openssl 时，Nginx 的 https SSL 证书验证失败，但适用于系统curl

Question

我正在使用 libcurl 通过 https 与两个独立的 Web 服务器通信。

第一个服务器在 64 位 Ubuntu 10.04 上运行 Lighttpd 1.4.26-1。 Lightty 是针对 openssl 版本 0.9.8k 构建的。

第二台服务器在 32 位 Ubuntu 10.04 上运行 Nginx 0.7.65。 Nginx 是针对 openssl 版本 0.9.8k 构建的。

这两个服务器都使用相同的证书，并且 DNS 在它们之间进行循环。我使用 /etc/hosts 来管理我正在访问的两个中的哪一个。

我正在使用针对 openssl 1.0.0c 构建的 libcurl 版本 7.21.2。

这样，libcurl 可以成功向 lightty 服务器发出 https 请求，但不能向 nginx 服务器发出 https 请求。我可以使用curl 命令行界面复制此内容。这是curl -v的输出：

* About to connect() to <hostname> port 443 (#0)
*   Trying <ip>... connected
* Connected to <hostname> (<ip>) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: cadata
  CApath: none
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS alert, Server hello (2):
* SSL certificate problem, verify that the CA cert is OK. Details:
error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
* Closing connection #0
curl: (60) SSL certificate problem, verify that the CA cert is OK. Details:
error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

如果我使用旧版本的curl（7.19.7和openssl 0.9.8l），我碰巧在同一系统上有相同的请求：

* About to connect() to <hostname> port 443 (#0)
*   Trying <ip>... connected
* Connected to <hostname> (<ip>) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: certdata
  CApath: none
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS handshake, Server key exchange (12):
* SSLv3, TLS handshake, Server finished (14):
* SSLv3, TLS handshake, Client key exchange (16):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSL connection using DHE-RSA-AES256-SHA
* Server certificate:

认为这与较新的版本有关版本的curl和/或openssl，我使用相同的版本和启用的选项重建了我的curl和libcurl：

Broken (my build):
seldon:bin ryanowen$ ./curl -V
curl 7.19.7 (i386-apple-darwin10.7.0) libcurl/7.19.7 OpenSSL/0.9.8l zlib/1.2.3
Protocols: tftp ftp telnet dict ldap http file https ftps 
Features: GSS-Negotiate IPv6 Largefile NTLM SSL libz 

Works (system version):
seldon:bin ryanowen$ /usr/bin/curl -V
curl 7.19.7 (universal-apple-darwin10.0) libcurl/7.19.7 OpenSSL/0.9.8l zlib/1.2.3
Protocols: tftp ftp telnet dict ldap http file https ftps 
Features: GSS-Negotiate IPv6 Largefile NTLM SSL libz 

不幸的是，这似乎没有什么区别。我的 curl 构建仍然失败（但仅在与 nginx 服务器通信时），而系统构建当然仍然有效。

我的 libcurl 构建可能有什么不同导致 SSL 握手失败？是否有任何选项未反映在我需要启用的 -V 输出中？关于 Nginx 方面有什么我应该研究的吗？

Answer 1

最后我发现问题出在Nginx端。 Nginx 配置引用了服务器证书和密钥，但没有引用 CA 捆绑包。将 CA 捆绑包连接到服务器证书文件的末尾似乎已经解决了问题。

我提供给 libcurl 的 CA 数据包括 CA 证书，但不包括链中的其他一些证书。我猜想系统curl一定把这些证书藏在某个地方了。