Estoy usando openssl s_client -showcerts -connect test.abc.com:443 -state -debug para verificar el certificado del servidor. El servidor está usando nginx. Pero cuando solicito lo anterior, openssl muestra el certificado del servidor como *.xyz.com. Quiero saber de dónde obtiene openssl esto como el certificado del servidor. El sistema operativo es Linux. verificado en /etc/pki/tls pero el certificado que se abre como certificado del servidor no está allí. Y la configuración de nginx apunta al certificado correcto para abc.com. Además, si accedo usando el navegador, se muestra el certificado correcto. Esto sucede solo con openssl. :(
hay un problema de SNI con openssl, intente usar este comando:
openssl s_client -showcerts -connect www.example.com:443 -servername www.example.com </dev/null
La adición de -servername de acuerdo con este artículo debería aclararlo.
El servidor está emitiendo una redirección permanente a ethornetworks.com . Para verlo, primero emita su comando s_client :
$ openssl s_client -CAfile AddTrustExternalCARoot.crt -connect apitest.ethormapp.com:443 CONNECTED(00000003) depth=4 C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root verify return:1 depth=3 C = US, ST = UT, L = Salt Lake City, O = The USERTRUST Network, OU = http://www.usertrust.com, CN = UTN - DATACorp SGC verify return:1 depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO Certification Authority verify return:1 depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = EssentialSSL CA verify return:1 depth=0 OU = Domain Control Validated, OU = EssentialSSL Wildcard, CN = *.ethornetworks.com verify return:1 ... En la parte inferior, después de obtener el resultado de verificación, ingrese un comando GET / HTTP/1.0 y presione RETURN dos veces:
... Start Time: 1390985154 Timeout : 300 (sec) Verify return code: 0 (ok) --- GET / HTTP/1.0 HTTP/1.1 301 Moved Permanently Server: nginx/1.4.4 Date: Wed, 29 Jan 2014 08:46:01 GMT Content-Type: text/html Content-Length: 184 Connection: close Location: https://www.ethornetworks.com/ <html> <head><title>301 Moved Permanently</title></head> <body bgcolor="white"> <center><h1>301 Moved Permanently</h1></center> <hr><center>nginx/1.4.4</center> </body> </html> closed $Si sigue la redirección, obtendrá el resultado esperado:
$ openssl s_client -CAfile AddTrustExternalCARoot.crt -connect www.ethornetworks.com:443 CONNECTED(00000003) depth=4 C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root verify error:num=19:self signed certificate in certificate chain verify return:0 --- Certificate chain 0 s:/OU=Domain Control Validated/OU=EssentialSSL Wildcard/CN=*.ethornetworks.com i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=EssentialSSL CA 1 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=EssentialSSL CA i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO Certification Authority ... Finalmente, puede usar AddTrust External CA Root para asegurarse de que la cadena se verifique como se esperaba. Sin él y la opción -CAfile , s_client informará 19 (self signed certificate in certificate chain) .