CentOS服务器TLS证书故障解决方法

分类:CentOS运维 阅读:61946 次

许多Linux服务器都使用TLS证书,但是它们的工作方式不尽相同。

证书问题不总是容易发现,假设你想要登陆一台LDAP服务器,在没有通知任何错误的情况下连接超时。也许你会认为这是用户账户出了问题,但常常与证书相关。Linux管理员在使用不同方式部署TLS证书方面很头疼。不好的证书会引发问题,解决问题取决于根本起因。

首先,检查日志文件去分析问题。你也需要使用像tcpdump的工具来检查是哪个连接端口引发的网络拥塞。许多协议都有一个安全和非安全端口,tcpdump可以帮助你识别。

一旦你确定了问题在于证书,定位服务器使用的具体文件,该文件中总是包含三个组件:公钥证书、私钥和证书授权(CA)密钥文件。

每一个服务都有具体的配置文件用来寻找这些日志文件。例如,Apache Web Server,你的Linux分布式服务器可能使用名为mod_ssl.conf的配置文件,其中包含以下代码行:

SSLCertificateFile /etc/pki/tls/certs/myserver.crt

SSLCertificateKeyFile /etc/pki/tls/private/myserver.key

一般的,文件后缀为.crt的是服务器证书文件。其中包含CA签名公钥。.key文件中包含服务器身份的私钥。在做其它事情之前,你需要确保服务器文件存在于你期望能够找到的配置文件当中。

.crt文件的一个普遍的问题是使用了未知的CA。由证书授权的公钥证书,保证了文件的可靠性和完整性。客户已经知道CA需要作为外部服务器。管理员通常会生成自己定义的公钥/私钥对。这就像是在询问“谁能保证你是真正的Sander van Vugt?”“我是Sander van Vugt,既然我这样说了,所以你可以相信我。”这种方式并不怎么方便,是吗?

在一些服务中,寻找自签名证书的相关错误很容易。人们使用自签名证书连接到网络服务器;服务器给出一个明文;然后终端用户可以轻松的退出。

其他的服务错误不会如此明显。一个LDAP客户获得一个非受信的证书将会连接失败,寻找问题的原因的方式是仔细分析日志文件找到提示与CA相关错误。如果找到了,找到服务器存储CA证书的文件夹。确信你找到了需要的CA证书,然后复制它覆盖到原来的位置。再试一次,它就会生效了。

另一个普遍的与TLS证书相关的错误,发生在证书的名字和连接的另一端目标终端不匹配时。假设你通知了LDAP客户连接到LDAP服务器hnl.example.com。为了确保生效,证书需要有一个主题名hnl.example.com。如果没有主题名,连接将会失败。一旦你知道了证书的存储地点,一般在服务器/etc/pki/tls/certs文件下。如果你想使用它,你可以使用openssl命令获得主题名:opensslx509-text<myserver.crt | grep Subject。如果名字不符,你需要改变客户端连接服务器的方式。

由于证书过期也会出现连接失败。使用openssl x509 -text < myserver.crt命令,系统将会告诉你证书期限。管理员需要在证书到期日之前创建新的证书。