让我们用vert. x加密

Question

我从Let's Encrypt获得了有效的https证书，但将其提供给vert时存在信任问题。x版本3.6.2

我用apache测试了cert，没问题，但是如果我试图用wget到达https vert. x服务器实例，我会得到：

$wgethttps://www.myhost.mydomain/json/read/all-languages
-2019-01-22 10:30:56--https://www.myhost.mydomain/json/read/all-languages
解析www.myhost。mydomain（www.myhost.mydomain）。。。88.14.34.156
连接到www.myhost。mydomain

主机名和ip是伪造的。

我的apache配置代码片段：

SSLCertificateFile /etc/certs/myhost.mydomain/cert.pem
SSLCertificateKeyFile /etc/certs/myhost.mydomain/privkey.pem
SSLCertificateChainFile /etc/certs/myhost.mydomain/chain.pem

vert. x代码：

val httpsOptions = HttpServerOptions()
.setPort(443)
.setSsl(true)
.setPemTrustOptions(PemTrustOptions()
    .addCertPath("/etc/certs/myhost.mydomain/chain.pem"))
.setPemKeyCertOptions(PemKeyCertOptions()
    .addKeyPath("/etc/certs/myhost.mydomain/privkey.pem")
    .addCertPath("/etc/certs/myhost.mydomain/cert.pem")
)
vertx.createHttpServer(httpsOptions).requestHandler(router).listen()

我设置垂直。x记录到调试，但没有出现错误消息。

我错过了什么？

Answer 1

问题在证书链文件链中。佩姆。它似乎不包含完整的证书链。如果您查看该文件，它可能只包含一个中间LE授权证书，即让我们加密授权X3。它与Apache配合使用，因为SSLCertificateChainFile实际上已被弃用，而且根本没有被使用。

另一端的vert. x确实使用了chain.pem文件。它只返回中间证书，因此wget会抱怨。要解决这个问题，请创建一个由chain.pem和cert.pem文件组成的fullchain.pem文件，例如，

cat cert.pem chain.pem > fullchain.pem

然后使用全链。pem带有PEMRustoptions配置。

您不需要将LE根证书放入完整链中。pem文件，因为它应该已经存在于客户端和服务器端。以下是TLS协议RFC的一段摘录。

certificate_list这是一个证书序列（链）。发送方的证书必须排在列表的第一位。后面的每个证书都必须直接证明它前面的证书。因为证书验证要求根密钥独立分发，所以指定根证书颁发机构的自签名证书可以从链中省略，前提是远程端必须已经拥有它才能在任何情况下验证它。

Answer 2

我在这里找到了解决方案：https://community.letsencrypt.org/t/android-doesnt-trust-the-certificate/16498/2

我把cert.pem改成了fullchain。pem在设置PEMKEYCERTOPTIONS设置中，它可以工作。

谢谢你的努力。