带有参数的 ssl 需要客户端身份验证/旺特身份验证设置为 true 失败与 javax.net.ssl.SSL手抖异常： 空证书链 /

Question

我已将xml文件配置为

  <Call name="addConnector">
    <Arg>
      <New class="org.mortbay.jetty.security.SslSelectChannelConnector">
        <Set name="Host">
          <SystemProperty default="0.0.0.0" name="https.host"></SystemProperty>
        </Set>
        <Set name="Port">
          <SystemProperty default="0" name="https.port"></SystemProperty>
        </Set>
        <Set name="MaxIdleTime">60000</Set>
        <Set name="Acceptors">5</Set>
        <Set name="AcceptQueueSize">100</Set>
        <Set name="StatsOn">true</Set>
        <Set name="Keystore"><SystemProperty default="." name="java.config"></SystemProperty>/mykeystore.keystore</Set>
        <Set name="KeyPassword">password</Set>
        <Set name="Password">password</Set>
        <Set name="NeedClientAuth">true</Set>
        <Set name="WantClientAuth">true</Set>
      </New>
    </Arg>
  </Call>

当NeedClientAuth设置为false时，我可以打开https://server.com:50881/admin/

当NeedClientAuth如上述参数所示设置为true时，它将失败，并返回错误

259498 2014-04-23 12:02:23,881 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLHandshakeException: null cert chain
260138 2014-04-23 12:02:24,521 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLHandshakeException: null cert chain
260689 2014-04-23 12:02:25,072 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLProtocolException: handshake alert: no_certificate

我已将根/中间/签名证书添加到服务器密钥库 我还已将根/中间证书添加到客户端 IE 浏览器

问题请建议是否存在任何配置错误，并正确运行命令以创建密钥库并从CA安装签名证书

已创建密钥库密钥工具-密钥库服务器DNS . keystore-别名服务器-genkey -keyalg RSA -keysize 2048

创建 CSR 密钥工具 -certreq -alias server -keystore serverdns.keystore -文件服务器.csr

正在安装签名证书keytool-import-trustcacerts-alias server-keystore server DNS . keystore-file signed cert . der . cer

Answer 1

这意味着客户端无法提供受服务器信任存储区信任的证书，因此它没有发送证书消息。当服务器请求客户端证书时，它还会发送可接受的签名者列表，客户端只能发送由其中一个签名者签名的证书，或者发送指向此类证书的链。

如果客户端有自签名证书，通常会发生这种情况。在这种情况下，您需要从客户端的密钥库导出客户端的证书并将其导入服务器的信任库。

<Set name="NeedClientAuth">true</Set>
<Set name="WantClientAuth">true</Set>

设置这两个没有任何意义。它们是相互排斥的。如果您这样做，NeedClientAuth可能会优先。