Openssl错误19: GoDaddy键控时“证书链中的自签名证书”

Question

有人能帮助我理解如何验证我的SSL证书是否安装正确(或者排除原因)吗？

我在我的Apache服务器上安装了GoDaddy SSL证书。一些用户仍然在报告问题( IE的一些版本说“这个页面不能显示”而没有进一步的解释)，openssl说在链中有一个‘自我签名’证书。请注意，这不是一个自我签署的证书.它是由GoDaddy签署的。本文有一个不起作用的相关答案：https://stackoverflow.com/a/4106224/1723405

以下是我所采取的步骤：

步骤1:生成私钥

openssl req -out CSR.csr -new -newkey rsa:2048 -nodes -keyout privateKey.key

第2步:转到GoDaddy并通过粘贴CSR.csr重键。

步骤3:在Apache中安装crt和bundle文件，然后重新启动。

// In <VirtualHost>
SSLEngine on
SSLProtocol -ALL +SSLv3 +TLSv1
SSLCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:-LOW:-SSLv2:-EXP
SSLVerifyClient none
SSLCertificateFile      /path/to/allthingsinsurance.net.crt
SSLCertificateKeyFile   /path/to/privateKey.key
SSLCertificateChainFile /path/to/gd_bundle-g2.cr

% apachectl restart

步骤4:转到几台机器中的任何一台，并且无法使用openssl进行验证。

% openssl s_client -connect allthingsinsurance.net:443 -showcerts -CApath /etc/ssl/certs

...lots of output, shows certs I installed...
Verify return code: 19 (self signed certificate in certificate chain)

步骤5:转到在线SSL验证服务并接收混合报告：

• whynopadlock.com:自签名错误
• ssltest.net:自签名错误
• ssllabs.com: ok
• crossbrowsertesting.com:类似的错误

Answer 1

如果whynopadlock.com和ssltest.net抱怨证书，而ssllabs.com说一切都很好，请检查虚拟主机配置。SSLLabs.com支持SNI，而whynopadlock.com、ssltest.net和较早版本的IE则不支持。

当客户端不支持SNI时，When服务器将无法使用服务器名，后者将返回到第一个匹配的虚拟主机。也许您有另一个用于测试的虚拟主机，它优先于您的主网站。

解决方案是更改此顺序或对此主机使用专用IP地址。