在Apache Web服务器上配置双向SSL客户端身份验证

Question

想得到一些关于设置简单的双向ApacheSSL的建议。

我们使用openSSL创建了一个密钥文件和csr请求。然后，我们将其提交给CA，并收到一个crt文件与CA的crt文件一起返回。

我们已经配置了ApacheHTTP。conf文件，并在加载mod_ssl模块后添加了以下参数。

开启SSLEngine

SSLCACertificateFile/local/fast/fcHome/deployment/apache01/conf/ssl。crt/ca.crt-与证书一起接收的ca根证书

/local/fast/fcHome/deployment/apache01/conf/ssl.crt/server.crt服务器从CA接收的crt文件

SSLCertificateKeyFile/local/fast/fcHome/deployment/apache01/conf/ssl。密钥/服务器。密钥-用于生成csr的密钥文件

SSLVerifyClient需要

SSLVerifyDepth 10

然后，我们有一个客户端也在使用由同一CA签名的证书试图连接到https服务。客户端在连接时出现SSL握手错误。

apache错误日志显示以下内容：

ssl_引擎_内核。c（1884）：OpenSSL:Write:SSLv3读取客户端证书B ssl\u引擎\u内核。c（1903）：OpenSSL:Exit:SSLv3读取客户端证书B ssl_引擎_内核中的错误。c（1903）：OpenSSL:Exit:SSLv3读取客户端证书B中的错误SSL库错误：336105671错误：140890C7:SSL例程：SSL3_获取_客户端_证书：对等方未返回服务器未知的证书进行验证？

我似乎不明白这是为什么。是否有可能即使客户端证书由VerSign签名，但它与服务器的CA. crt文件不匹配？

任何帮助都将不胜感激

Answer 1

客户端必须提供客户端证书才能连接到服务器。

例如，在python中：

import requests

cert = (client_cert_file_path, client_key_file_path)

resp = requests.get(url, cert=cert, verify=False)

Answer 2

SSLCACertificateFile必须包含客户端的认证机构证书和任何中间证书文件，所有证书都连接在一起。

您还缺少SSL证书链接文件，该文件必须指向包含服务器认证机构证书和任何中间证书文件的文件，所有这些文件都连接在一起。

显然，客户端（浏览器）必须安装自己的客户端证书。

注意：从2.4.8版本开始，作为apache官方文档，SSLCertificateChainFile已经过时（感谢ezra-s的评论）。现在可以将服务器证书和CA中间证书直接连接到SSLCertificateFile中。