Самоподписанный сертификат в цепочке только с некоторых серверов

Question

У меня есть несколько Intel NUC, которые я использую для отображения цифровых вывесок. Из тысяч, которые у меня есть в поле, пара жалуется на эту ошибку:

Проблема с сертификатом SSL: самоподписанный сертификат в цепочке сертификатов. Более подробно здесь: http://curl.haxx.se/docs/sslcerts.html, curl выполняет проверку сертификата SSL по умолчанию, используя "комплект" открытых ключей центра сертификации (CA) (сертификаты CA). Если файл пакета по умолчанию не подходит, вы можете указать альтернативный файл с помощью параметра --cacert. Если этот HTTPS-сервер использует сертификат, подписанный ЦС, представленным в комплекте, проверка сертификата, вероятно, не удалась из-за проблемы с сертификатом (возможно, срок его действия истек или имя может не совпадать с именем домена в URL-адресе). Если вы хотите отключить проверку сертификата с помощью curl, используйте параметр -k (или --insecure).

Я подтвердил, что срок действия сертификата не истек, а доменное имя совпадает

Эти модули работают на Debian 7

Может ли сеть, в которой они находятся, вызвать эту проблему с какими-то настройками брандмауэра?

Answer 1

Когда вы посещаете веб-сайт, какой сертификат отображается в веб-браузере? В вашей ленте есть тот же сертификат, который предполагается использовать для шифрования SSL? Я думаю, нет. CA подпишет ваш cert.pem, чтобы веб-браузеры отображали ваш зеленый замок, тем самым аутентифицируя ваш сайт. Скорее всего, у вас возникла проблема с настройкой вашего пакета curl. Вы должны убедиться, что ваш сервер использует сертификат CA, а не самозаверяющий сертификат, например, ssl-cert-snakeoil.pem.

По сути, ваш сайт должен использовать статический адрес IPv4. Поскольку сетевой брандмауэр не позволяет выполнить рукопожатие SSL, что возможно, я видел, что это происходит на определенных портах, например, порт 22 для соединений ssh ​​может быть заблокирован на сетевом шлюзе для входящего трафика на клиентском компьютере, пытающемся установить соединение на сервер. SYN / ACK https://tools.ietf.org/rfc/rfc793.txt TCP-квитирование может быть прервано в ситуации такого типа сетевой перегородки. Однако, поскольку вы получаете явный ответ от своего сервера о самозаверяющем сертификате, проблема с брандмауэром, похоже, не является проблемой.