确保TLSv1.2在特技？

Question

请耐心等待，因为我可能对创建证书以实现TLS连接缺乏一些理解。

我试图建立一个连接与TLSv1.2加密从客户端到服务器。我已经在客户端创建了自己的CA证书和CSR，并开始签署客户端。

在生成CSR并使用CA证书签名后，在客户端：

• client-cert.pem
• 客户企业社会责任。pem
• 客户端密钥。质子交换膜

使用的命令：

• openssl req节点-newkey rsa： 4096-keyoutclient-key.pemclient-csr.pem
• openssl验证-CAfileca-cert.pemclient-cert.pem

在服务器端，我还创建了一个CSR，并用我自己的CA签名：

• server-cert.pem
• 服务器密钥。质子交换膜

在服务器端，在我创建CA证书并签署客户端证书后：

• ca-cert.pem
• ca-cert.srl
• ca-key.pem

使用的命令：

• openssl req-x509-newkey rsa： 4096-天3650-keyoutca-key.pemca-cert.pem
• openssl x509-req-inserver-req.pem-天3650-CAca-cert.pem-CAkeyca-key.pem-CAcreatesear-outserver-cert.pem
• openssl验证-CAfileca-cert.pemclient-cert.pem

所以在我的nginx方面，我已经这样配置了它。（流连接）

server {
  listen 10043;
  proxy_ssl on;
  proxy_ssl_protocols TLSv1.2;
  proxy_ssl_session_reuse on;
  ssl_prefer_server_ciphers on;
  ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384;
  ssl_certificate /etc/nginx/certs/tls_certs/client-cert.pem;
  ssl_certificate_key /etc/nginx/certs/tls_certs/client-key.pem;
  ssl_dhparam /etc/nginx/certs/tls_certs/dhparam.pem;
  access_log /var/log/nginx/lpe-ing.log proxy;
  proxy_pass 123.456.789.123:12345;
}

在我的服务器endpoint上，它正在使用stunnel

cert = server-cert.pem
key = server-key.pem
CAfile = ca-cert.pem
verify = 3
sslVersion = all
options = NO_SSLv2
options = NO_SSLv3
options = NO_TLSv1
options = NO_TLSv1.1

[ABC-1]
accept = 12345
connect = localhost:11881

1. 我的配置错了吗
2. 我是否在服务器端和客户端都缺少配置
3. 如果我关闭了verify，verify=0，则我可以连接

当我执行“openssl s_客户端-连接本地主机：10043-tls1_2”时，我从stunnel收到此错误

CONNECTED(00000003)
write:errno=104

stunnel日志：

2021.11.01 08:17:05 LOG3[14538:140387789453056]: SSL_accept: 140890C7: error:140890C7:SSL routines:ssl3_get_client_certificate:peer did not return a certificate

Answer 1

我不熟悉Nginx配置，所以我不知道你是否正确。但是我能看出你在考试中做错了什么。已成功测试不允许连接未经身份验证的客户端。OpenSSL错误并不总是清晰的，但是在这种情况下，来自服务器的消息相当清晰：

ssl3\u获取\u客户端\u证书：对等方未返回证书

您已将服务器配置为需要客户端身份验证。但是客户端没有发送证书，因此无法进行客户端身份验证，并且服务器通过关闭连接拒绝了连接尝试。（TLS客户端身份验证是这样工作的：客户端发送一个证书，然后发送一个签名，证明它知道相应的私钥。）客户端上的错误是“对等端重置连接”。

您需要将签名证书和私钥传递给客户端。

openssl s_client -connect localhost:10043 -tls1_2 -cert client_cert.pem -key client_key.pem