使用 https 连接到具有由我创建的 CA 签名的证书的服务器

Question

我有一个测试环境，它使用 Ruby 通过 https 连接驱动服务器。由于最新版本的 Ruby 拒绝使用无效证书连接到 https 服务器（请参阅 我之前的问题）并且我想开始使用较新版本的 Ruby，我正在尝试设置一个有效的证书。

我已经创建了一个要使用的 CA 证书（有多个服务器正在测试，因此这似乎是更简单的方法），并已成功使用它来签署已安装在服务器上并正在使用的新证书。我已将 CA 证书添加到浏览器存储中，它（浏览器）现在将毫无怨言地连接到服务器。所以我相信我的证书是有效的并且设置正确。

我知道 Ruby 不使用与浏览器相同的存储。我已使用此处提供的 CA 文件来测试与其他（公共）服务器的连接（使用 Net::HTTP#ca_file= 方法设置），这也有效。

我无法开始工作的是 Ruby 使用我的证书连接到我的服务器。我尝试了各种方法将其指向我的证书（包括将我的证书添加到上面链接的文件中），但它总是给出相同的错误：

SSL_connect SYSCALL returned=5 errno=0 state=SSLv2/v3 read server hello A (OpenSSL::SSL::SSLError)

我需要做什么才能说服 Ruby 接受我的证书并连接到我的服务器？

我使用的代码是：

require 'net/https'

uri = URI.parse("https://hostname/index.html")
http = Net::HTTP.new(uri.host, uri.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
http.ca_file = "My CA cert file"
request = Net::HTTP::Get.new(uri.path)
response = http.request(request)

我假设这是错误的。我想知道的是，我应该如何使用我的CA证书？

Answer 1

我假设您的 Tomcat 不喜欢 Ruby 尝试协商的协议版本。 Ruby 默认使用 SSLv23，但我听说过其他情况基于 Java 的 Web 服务器的问题。您收到的错误消息表明在建立连接并尝试读取服务器响应时握手失败。尝试添加

http.ssl_version = :TLSv1

or

http.ssl_version = :SSLv3

，看看是否有帮助。

如果这还不能解决问题，那么了解服务器拒绝连接尝试的原因将非常有趣。尝试使用 -Djavax.net.debug=ssl 运行您的 Tomcat，并请发布相关部分（连接信息、异常堆栈跟踪）以了解尝试失败的原因。

Answer 2

我正在使用 ruby​​ 1.9.3，在使用 nokogiri 解析一些安全 url 时遇到了同样的错误。

OpenSSL::SSL::SSLError: SSL_connect returned=1 errno=0 state=SSLv2/v3 read server hello A: (null)

emboss 提供的上述答案是正确的，但请确保生成的 ssl 错误是上面提到的错误。我也遵循了同样的做法，并找到了如下所述的解决方案。

uri = URI(url)
http = Net::HTTP.new(uri.host, uri.port)
http.use_ssl = true
http.ssl_version = :SSLv3
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
response = http.get(url)

现在，响应已为传递给 url 中的代码的安全 url 解析了正确的 html。

Answer 3

确保您的证书文件采用 PEM 格式，而不是 CRT（因此 Ruby 1.9.3 中的 Net::HTTP 文档 说）。

更新 看起来文档不是最新的，Ruby 1.9.3 将接受任何类型的证书。