Получение этой ошибки: проверка сертификата SSL3_GET_SERVER_CERTIFICATE не выполнена

Question

У нас есть IBM Sterling Connect Direct 4.2 на Windows 2003 Server, все работает нормально, даже с помощью SSL-конфигурации, мы меняем файлы правильно. Теперь я перенес всю конфигурацию в кластерную среду Windows Server 2008. Все в порядке ... Я настроил IBM Sterling Connect Direct 4.6.0.1 - даже настройку SSL, мы только что сделали копию/вставку сертификатов, ключей и доверенных файлов. Все в порядке, и мы можем получать файлы в сеансе SSL. Но ... есть исключение .. Проблема, которую мы сталкиваемся, когда мы пытаемся отправить файлы нашим партнерам мы получаем эту ошибку:

Message ID: CSPA311E 
SSL Certificate verification failed, reason= self certificate in certificate chain: 

СЛЕДОВАЛИ этой ошибки:

Message ID: CSPA309E 
SSL3_GET_SERVER_CERTIFICATE certificate verify failed: 

Мы используют точно такую ​​же конфигурацию, за исключением имени IP и сервера, которые изменились. Сертификаты каким-либо образом связаны с именем сервера или IP-адресом?

Любые намеки на эту проблему очень ценятся.

Answer 1

Сертификат выдается для определенного доменного имени или IP-адреса. Я уверен, что это причина вашей ошибки. Вы можете проверить это с помощью keytool.exe, который поставляется с установкой JRE или JDK и находится в каталоге /bin. Так выполните следующее из командной строки:

keytool.exe -printcert -file C:\path\to\your\file.crt 

Это даст выход, как:

Во второй строчке вы можете увидеть: Owner: CN=localhost, ... это означает, что этот сертификат выдается на локальный хост.

Если эта запись CN отличается от нового IP-адреса или доменного имени, у вас есть две возможности.

1. Ящик нового сертификата, который выдается для данного конкретного IP-адреса или домена. Вы снова можете использовать java keytool.exe.
2. Вам необходимо обновить клиентское приложение, которое проверяет действительность сертификата. Таким образом, вам нужно сообщить клиенту, что он не проверяет имя сертификата certs на реальный IP-адрес или поврежденное имя удаленного сервера. (Не рекомендуется по соображениям безопасности.)