如何使用cURL调试SSL握手？

Question

我想使用客户端证书对每个目录的身份验证进行故障排除。我特别想知道服务器发送哪些可接受的客户端证书。

如何调试SSL握手，最好使用cURL？

Answer 1

curl可能有一些选项可以显示更多信息，但对于这种情况，我总是使用openssl s_client

使用 -debug 选项，这提供了大量有用的信息

也许我应该补充一点，这也适用于非HTTP连接。所以如果你在做“https”，试试下面建议的curl命令。如果你不是或者想要第二个选项openssls_client可能会很好

Answer 2

curl -iv https://your.domain.io

如果您不希望使用 openssl 命令，这将为您提供证书和标头输出。

Answer 3

我使用此命令对客户端证书协商进行了故障排除：

openssl s_client -connect www.test.com:443 -prexit

输出可能包含“可接受的客户端证书CA名称”和来自服务器的CA证书列表，或者可能包含“未发送客户端证书CA名称”，如果服务器并不总是需要客户端证书的话。