Nagios check_ssl_cert错误: SSL_CERT关键:错误:验证深度为6

Question

我正在建立一个Nagios/Icinga监控系统来监控我的环境。我想用check_ssl_cert来监控我的SSL证书，因为它并不是所有网站都能使用的。

我的命令：

/usr/lib/nagios/plugins/check_ssl_cert -c 7 -w 28 -H 141.85.37.43 -r /etc/ssl/certs/

返回：SSL_CERT CRITICAL: Error: verify depth is 6

(141.85.37.43只是一个例子，不是我自己的，而是犯了同样的错误)。

如果我试着

# openssl s_client -connect ftp.myDomain.de:443
CONNECTED(00000003)
140037719324328:error:14077438:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert internal     error:s23_clnt.c:741:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 320 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
---

或

# curl https://ftp.myDomain.de:443 -v
* About to connect() to ftp.myDomain.de port 443 (#0)
*   Trying 212.xxx.xxx.xxx...
* connected
* Connected to ftp.myDomain.de (212.xxx.xxx.xxx) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: none
  CApath: /etc/ssl/certs
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS alert, Server hello (2):
* error:14077438:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert internal error
* Closing connection #0
curl: (35) error:14077438:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert internal error

我正在一个名为ftp.myDomain.de的ubuntu系统上使用一个ftp.myDomain.de。我可以在https://ftp.myDomain.de中使用它，没有任何问题。cert是作为一个.pem文件安装的，并经过了validated验证。

我的证书有什么问题吗？

Answer 1

我与check_ssl_cert背后的开发人员取得了联系，他在一个更新的版本中优化并实现了我的解决方案。

cert

Answer 2

我发现了点东西。这跟我的SSL证书有关。我需要与ssl version 3检查以获得一个工作结果。

Icinga plugins # openssl s_client -connect ftp.myDomain.de:443 -ssl3

我修改了check_ssl_cert并添加了一个新的param -ssl来定义版本，就像check提供的那样：

http://pastebin.com/f46YQFg3 (需要在那里发布，以渴望stackoverflow.com)

并且可以用

Icinga plugins # /usr/lib/nagios/plugins/check_ssl_cert -c 7 -w 28 -H "ftp.myDomain.de" -r "/etc/ssl/certs/" --ssl 3
SSL_CERT OK - X.509 certificate for 'ftp.myDomain.de' from 'Thawte DV SSL CA' valid until Jun  5 23:59:59 2015 GMT (expires in 676 days)|days=676;28;7;;

所以我的问题已经解决了，但是我需要弄清楚我的旧的--没有解决办法--证书有什么不同，如果我需要在那里改变什么？

Answer 3

我在一个新的Nagios盒上遇到了同样的问题，并尝试了最新版本的check_ssl_cert，但没有成功。

最后，解决方案是安装expect。