NRPE无法完成SSL握手- Peer没有返回一份证书。

Question

启用SSL后，我将在NRPE中获得SSL握手错误。不需要SSL做check_nrpe，它就能很好地工作。允许的主机是正确的，并且在没有启用SSL的情况下运行时，它显示了正确的版本。它们都运行在CentOS 7.9.2009版(Core7.9.2009)上，我没有从通过Yum安装的源代码编译NRPE或nagios。

以下是我认为对这个问题很重要的秘密。

这是我被记录的错误..。它说错误的版本，但两者运行相同版本的NRPE。

我用的是真正购买的通配符证书.两边都有相同的证书。证书与服务器的域名匹配。

nrpe --version
NRPE - Nagios Remote Plugin Executor
Version: 4.0.3

两种版本都适用于openssl

openssl version
OpenSSL 1.0.2k-fips  26 Jan 2017

当我运行./check_nrpe -H hostname.domain.com时，我得到

CHECK_NRPE: (ssl_err != 5) Error - Could not complete SSL handshake with 10.1.1.125: 1

在另一个服务器上，它记录：

Jan  5 12:48:54 nagiostest2 nrpe[3575]: Error: (ERR_get_error_line_data = 336130315), Could not complete SSL handshake with 10.1.1.64: wrong version number
Jan  5 12:51:11 nagiostest2 nrpe[3692]: CONN_CHECK_PEER: checking if host is allowed: 10.1.1.64 port 16075
Jan  5 12:51:11 nagiostest2 nrpe[3692]: is_an_allowed_host (AF_INET): is host >10.1.1.64< an allowed host >10.1.1.64<
Jan  5 12:51:11 nagiostest2 nrpe[3692]: is_an_allowed_host (AF_INET): is host >10.1.1.64< an allowed host >10.1.1.64<
Jan  5 12:51:11 nagiostest2 nrpe[3692]: is_an_allowed_host (AF_INET): host is in allowed host list!
Jan  5 12:51:11 nagiostest2 nrpe[3692]: Error: (ERR_get_error_line_data = 336105671), Could not complete SSL handshake with 10.1.1.64: peer did not return a certificate

以下是我的nrpe.cfg的重要部分

debug=1

ssl_cipher_list=ALL:!aNULL:!eNULL:!SSLv2:!LOW:!EXP:!RC4:!MD5:@STRENGTH

ssl_version=TLSv1.1+

#ssl_cipher_list=ALL:!MD5:@STRENGTH
#ssl_cipher_list=ALL:!MD5:@STRENGTH:@SECLEVEL=0
ssl_cipher_list=ALL:!aNULL:!eNULL:!SSLv2:!LOW:!EXP:!RC4:!MD5:@STRENGTH

# SSL Certificate and Private Key Files

ssl_cacert_file=/etc/nagios/ssl/ca.crt
ssl_cert_file=/etc/nagios/ssl/star.mydomain.com.crt
ssl_privatekey_file=/etc/nagios/ssl/star.mydomain.com.key


# SSL USE CLIENT CERTS
# This options determines client certificate usage.
# Values: 0 = Don't ask for or require client certificates (default)
#         1 = Ask for client certificates
#         2 = Require client certificates
ssl_client_certs=2

# Enables all SSL Logging
ssl_logging=0xff

谢谢您提前提供帮助！

Answer 1

我假设nrpe.cfg来自被调用的节点(10.1.1.125)，如果是这样的话，正如上面Steffen所说的那样，您已经将它配置为需要来自调用它的任何人的证书。在运行check_nrpe时，应该包括这一点，并查看4.0.3的帮助文本(这是我所拥有的)--这里有一个-C标志。因此，您可能需要将其包含在调用中，或者重新配置正在调用的NRPE节点。