Início / server / Perguntas / 643401
Accepted
hookenz
Asked: 2014-11-11 19:11:25 +0800 CST

Não é possível fazer com que a cadeia de certificados de soluções de rede funcione com o EC2 Elastic Load Balancer

  • 772

Eu recebi um arquivo de certificado que é um nome de domínio curinga. Ele vem como uma chave e um arquivo crt. Nenhum outro arquivo foi fornecido.

Estou tendo problemas para fazê-lo funcionar corretamente com o balanceador de carga elástico.

Eu tentei esta ordem:

http://www.networksolutions.com/support/installation-of-an-ev-ssl-certificate-for-tomcat-apache/

Com os certificados intermediários obtidos aqui: http://www.networksolutions.com/support/where-can-i-locate-the-network-solutions-nsprotect-root-and-intermediate-certificate-files/

Eu também tentei o seguinte:

  • Soluções de rede Adicionar raiz CA externa confiável
  • Soluções de Rede UTN Adicionar Confiança CA
  • Soluções de Rede Servidor UTN CA
  • CA de Validação Estendida (EV) de Soluções de Rede
  • Certificado intermediário de soluções de rede
  • Soluções de rede EV Root

O erro que o ELB retorna é:

Não foi possível validar a cadeia de certificados. A cadeia de certificados deve começar com o certificado de assinatura imediato, seguido por quaisquer intermediários em ordem. O índice dentro da cadeia do certificado inválido é: -1

Há tantas informações conflitantes e desatualizadas por aí e nada parece funcionar. Como faço isso funcionar?

Existe um método que eu possa usar com o OpenSSL para descobrir manualmente quais certificados preciso em cada etapa?

ssl-certificate

4 respostas

  1. Certifique-se de que sua cadeia de certificados contém os certificados intermediário e raiz na ordem correta.

    A melhor forma de analisar o problema com o certificado da cadeia encontrei aqui: Wormly Test SSL Web Server .

    Iniciei a configuração SSL do Amazon ELB para meu domínio aqui: Certificado SSL para Elastic Load Balancing .

    Estou usando certificados COMODO Instant SSL. Então, obtive o pacote de certificados em um arquivo zip. Quando eu extraí, ele contém quatro arquivos dentro dele como:

                 1.AddTrustExternalCARoot {Root certificate}
             2.COMODORSAAddTrustCA    {intermediate certificate 1}
             3.COMODORSADomainValidationSecureServerCA {intermediate certificate 2}
             4.www_example_com   {public key for my domain name}

    Observação: precisamos converter o arquivo de certificado acima para o formato .PEM antes de usá-lo no Amazon ELB. Isso é feito usando o comando:

                 openssl x509 -inform PEM -in {above certificate file name}

    Agora fui para a parte de Ouvintes do ELB para configurar o HTTPS . ELB HTTPS tem três colchetes chamados:

                 1.Private Key {paste the private key which was generated using openSSL}
             2.Public Key Certificate {paste the public key of www_example_com certificate}
             3.Certificate Chain {paste the intermediate and Root certificate}

    Na primeira tentativa, conforme orientação da Amazon, a parte da Cadeia de Certificados é opcional. Continuei deixando em branco. Funcionou bem nos navegadores de PC. E o problema surgiu ao tentar abri-lo nos navegadores móveis Android.

    Encontrei a solução aqui: Configurando o SSL em um Amazon Elastic Load Balancer e criando um arquivo .pem para links de instalações de certificados SSL.

    Portanto, para evitar isso, incluí o certificado encadeado nesta ordem:

                 COMODORSADomainValidationSecureServerCA 
             COMODORSAAddTrustCA    
             AddTrustExternalCARoot

    Eu copiei e colei os três certificados acima, incluindo as tags Begin e End no colchete do certificado da cadeia.

    Agora está feito. Ótimo funcionou bem. Agora, minha configuração SSL é mostrada como 100% segura quando eu a verifiquei com Wormly Test SSL Web Server .

    Obrigada.

    • 14
  2. Best Answer

    Acabei de resolver isso, a ordem correta para a cadeia de certificados é a seguinte:

    OV_NetworkSolutionsOVServerCA2
OV_USERTrustRSACertificationAuthority
AddTrustExternalCARoot

    Boa sorte!

    • 8

  3. Depois de lutar com isso por quase duas horas, descobrimos que reordenar os certificados intermediários não funciona. Embora o certificado seja importado para o Certificate Manager, ele não fica visível para o Application Load Balancer.

    Pesquisando mais sobre isso, encontrei um artigo na AWS que afirma claramente que, para usar um certificado de 4096 bits, você precisa importá-lo usando o IAM CLI.

    Você pode ler sobre isso aqui

    https://aws.amazon.com/premiumsupport/knowledge-center/elb-ssl-tls-certificate-https/

    e aqui

    https://aws.amazon.com/premiumsupport/knowledge-center/import-ssl-certificate-to-iam/

    • 1

  4. apenas use o

    1. OV_NetworkSolutionsOVServerCA2
    2. OV_USERTrustRSACertificationAuthority

    arquivos

    O arquivo AddTrustExternalCARoot não é necessário

    • 0

relate perguntas