openresty证书问题排查和配置多证书问题解决

拼搏现实的明天。 2022-10-16 09:43 324阅读 0赞

> 距离搭建openresty也有一段时间了，上生产的时间也越来越长，其中也遇到了一些问题并解决了。在升级版本上线的那天晚上，我因为某些问题加班到了11点未解决，还是第二天下午解决的，来一起看看是什么问题吧！

因为公司规定，内网和外用都暴露https链接，所以目前没有http的链接，也都是用openresty实现的https代理。由于这个不成文的规定，导致内网调用的时候有些麻烦，因为在服务器之间调用，要双方服务器在jdk中倒入证书。所以在对接客户的时候也有了很多麻烦。

而这次麻烦就是因为生产服务器的openresty做代理转发内网访问不通，在访问的时候总是爆出一个证书错误，意思是你们双方肯定有一方没有导入证书，而导致证书验证失败！

经过长时间排查，发现证书双方都是ok的，但是问题依然在。那么问题出现在哪里呢？

![在这里插入图片描述][20210529105235380.png]

为了一点点排除问题，我试过代理域名、代理物理机IP、代理负载机器IP，而问题就是出在负载上。

于是，找到了管理员，查看了后台配置，负载监听的是TCP/UDP，然后我让他设置成了监听HTTP/HTTPS，绑定的证书还是原来nginx绑定的收费证书。测试了一下，结果确实这样：

java.lang.RuntimeException: javax.net.ssl.SSLException: Unrecognized SSL message, plaintext connection?

异常爆出`连接SSL异常，是否考虑明文连接？`，这个问题很显然就是后台负载配置错误！

--------------------

因为想到使用一个证书已经不足以解决问题了，然后通过脚本自己生成了SSL证书，关于openresty配置多证书的问题，接下来我详细说明：

首先，使用命令检查你的openresty版本是否支持多证书配置

# 检查SNI扩展是否打开（注意：V是大写）
    ./nginx -V

<table> 
 <thead> 
  <tr> 
   <th align="center">检查SNI扩展是否打开，如果出现TLS SNI support enabled 说明SNI扩展已经打开了！</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="center"><img src="https://img-blog.csdnimg.cn/20210529105253392.png" alt="在这里插入图片描述"></td> 
  </tr> 
 </tbody> 
</table>

> 如果没有打开的小伙伴，请重新安装openresty！
> 
> 参考：https://blog.csdn.net/weixin\_44170221/article/details/115595499

# server_name根据自己需求去配置
    server  {
        
            listen 443;
            server_name   负载IP;
    
            ssl on;
            # 此证书为自己生成的openssl证书
            ssl_certificate "/data/openresty/nginx/conf/server1.pem";
            ssl_certificate_key "/data/openresty/nginx/conf/server1.key";   
     ......
    } 
     
    server  {
        
            listen 443;
            server_name   域名;
    
            ssl on;
            # 此证书为收费证书
            ssl_certificate "/data/openresty/nginx/conf/server2.crt";
            ssl_certificate_key "/data/openresty/nginx/conf/server2.key";   
     ......
    }

配置好后，继续测试，爆出的错误换了！

java.lang.RuntimeException: javax.net.ssl.SSLPeerUnverifiedException: Host name '负载IP（注意：这里脱敏了！）' does not match the certificate subject provided by the peer (CN=openresy物理机IP（注意：这里脱敏了！）, OU=XXXXX, O=XXXXX, L=Beijing, ST=Beijing, C=China)

这个错误就很一目了然了，就是由于后台配置负载的时候，服务证书不对应导致的错误！简单来说，后台配置负载的时候，证书绑定的有问题！

由于负载情况是这个样子的，所以在证书层面显得过于混乱，所有进行调用的服务都需要证书的导入！出现上述错误，是由于后台后端服务绑定的证书是openresty物理机证书，所以证书对应不上。

于是，换成了负载服务器证书，问题便得到了解决！其中，在后台配置的时候，也必须开启SNI扩展服务才可以！

因为排查过程中，后台配置需要管理员来协助，所以过程是非常痛苦的，但是也会为自己积累一些处理问题的能力吧！

![在这里插入图片描述][2021052910532239.png]

是不是被我感动到了，一起加油吧！

如果你喜欢我的文章，对你还算是有所收获的话，请点赞、评论、收藏，你对我的支持将是我最大的动力！Thank You！

[20210529105235380.png]: /images/20221014/a51ffa82bbe1440b955afaadcb4779dd.png
[2021052910532239.png]: /images/20221014/31a1614c3ebb4839a2e7deeda2c88841.png