参数 NeedClientAuth/WantClientAuth 设置为 true 的 ssl 失败并出现 javax.net.ssl.SSLHandshakeException: null cert chain /

Question

我已将 xml 文件配置为

  <Call name="addConnector">
    <Arg>
      <New class="org.mortbay.jetty.security.SslSelectChannelConnector">
        <Set name="Host">
          <SystemProperty default="0.0.0.0" name="https.host"></SystemProperty>
        </Set>
        <Set name="Port">
          <SystemProperty default="0" name="https.port"></SystemProperty>
        </Set>
        <Set name="MaxIdleTime">60000</Set>
        <Set name="Acceptors">5</Set>
        <Set name="AcceptQueueSize">100</Set>
        <Set name="StatsOn">true</Set>
        <Set name="Keystore"><SystemProperty default="." name="java.config"></SystemProperty>/mykeystore.keystore</Set>
        <Set name="KeyPassword">password</Set>
        <Set name="Password">password</Set>
        <Set name="NeedClientAuth">true</Set>
        <Set name="WantClientAuth">true</Set>
      </New>
    </Arg>
  </Call>

当 NeedClientAuth 设置为 false 时，我可以打开 https://server.com:50881/admin/

当NeedClientAuth设置为true时，如上参数所示，失败并报错

259498 2014-04-23 12:02:23,881 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLHandshakeException: null cert chain
260138 2014-04-23 12:02:24,521 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLHandshakeException: null cert chain
260689 2014-04-23 12:02:25,072 [825245763@qtp-1957835280-3] WARN  org.mortbay.log  - javax.net.ssl.SSLProtocolException: handshake alert: no_certificate

我已将根/中间/签名证书添加到服务器密钥库 我还在客户端 IE 浏览器中添加了 root/intermediate

问题 如有配置错误请指教 并且命令正确运行以创建密钥库并安装来自 CA 的签名证书

创建密钥库 keytool -keystore serverdns.keystore -alias server -genkey -keyalg RSA -keysize 2048

创建 CSR keytool -certreq -alias server -keystore serverdns.keystore -file server.csr

安装签名证书 keytool -import -trustcacerts -alias server -keystore serverdns.keystore -file signedcert.der.cer

Answer 1

这意味着客户端无法提供受服务器信任库信任的证书，因此它没有发送证书消息。当服务器请求客户端证书时，它还会发送可接受的签名者列表，并且客户端只能发送由其中一个签名者签名的证书，或者带有指向此类证书的链。

如果客户端具有自签名证书，通常会发生这种情况。在这种情况下，您需要从他的密钥库中导出客户端的证书并将其导入到您服务器的信任库中。

<Set name="NeedClientAuth">true</Set>
<Set name="WantClientAuth">true</Set>

设置这两个都没有任何意义。它们是相互排斥的。如果你这样做，NeedClientAuth 可能会优先。