仅来自某些服务器的链中的自签名证书

Question

我有多个英特尔核素在这个领域，我用来显示数字标志。在我在现场的数千人中，有一对抱怨这个错误：

SSL证书问题:证书链中的自签名证书。这里有更多详细信息：http://curl.haxx.se/docs/sslcerts.html，curl默认使用证书颁发机构(CA)公钥(CA certs)的“包”来执行SSL证书验证。如果默认的包文件不够，可以使用--cacert选项指定备用文件。如果此HTTPS服务器使用由包中表示的CA签名的证书，证书验证可能由于证书问题而失败(该证书可能过期，或者该名称可能与URL中的域名不匹配)。如果要关闭curl对证书的验证，请使用-k (或-不安全)选项。

我已经确认证书未过期，并且域名匹配

这些单位在Debian 7上运行。

他们所处的网络是否可以通过某种防火墙设置来解决这个问题呢？

Answer 1

当您访问网站时，web浏览器中显示了哪些证书？在您的curl包中，是否存在用于SSL加密的相同证书？我想不会吧。CA将签署您的cert.pem，以便网页浏览器将显示您的绿色锁，从而认证您的网站。您很可能在后端与您的curl包的配置有问题。您需要确保您的服务器使用的是CA证书，而不是一个自签名证书，例如. cert。

本质上，您的网站应该使用静态IPv4地址。至于网络防火墙阻止可能发生的SSL握手，我已经看到它发生在特定端口上，例如，ssh连接的端口22可能会在客户端计算机上试图连接到服务器的入站通信被阻塞。在这种网络防火墙情况下，SYN/ACK https://tools.ietf.org/rfc/rfc793.txt TCP握手可能会超时。但是，由于您正在从服务器获得关于自签名证书的显式响应，防火墙问题似乎不是问题。