主页 / server / 问题 / 643401
Accepted
hookenz
Asked: 2014-11-11 19:11:25 +0800 CST

无法使用 EC2 弹性负载均衡器获得网络解决方案证书链

  • 772

我有一个提供给我的证书文件，它是一个通配符域名。它同时作为密钥和 crt 文件提供。没有提供其他文件。

我无法让它与弹性负载平衡器一起正常工作。

我试过这个顺序：

http://www.networksolutions.com/support/installation-of-an-ev-ssl-certificate-for-tomcat-apache/

使用从这里获得的中间证书：http: //www.networksolutions.com/support/where-can-i-locate-the-network-solutions-nsprotect-root-and-intermediate-certificate-files/

我还尝试了以下方法：

  • 网络解决方案添加信任外部 CA 根
  • 网络解决方案 UTN 添加信任 CA
  • 网络解决方案 UTN 服务器 CA
  • 网络解决方案扩展验证 (EV) CA
  • 网络解决方案中级证书
  • 网络解决方案 EV Root

ELB 返回的错误是：

无法验证证书链。证书链必须从直接签名证书开始，然后是任何中间人。无效证书链内的索引为：-1

那里有太多相互矛盾和过时的信息，似乎没有任何效果。我如何让这个工作？

有没有一种方法可以与 OpenSSL 一起使用来手动计算出我在每个步骤中需要哪些证书？

ssl-certificate

4 个回答

  1. 请确保您的证书链是否以正确的顺序包含中间证书和根证书。

    我在这里找到了分析链证书问题的最佳方法：Wormly Test SSL Web Server。

    我已经在此处为我的域启动了 Amazon ELB SSL 配置：SSL Certificate for Elastic Load Balancing。

    我正在使用 COMODO Instant SSL 证书。因此，我将证书捆绑在一个 zip 文件中。当我提取时，它里面包含四个文件，例如：

                 1.AddTrustExternalCARoot {Root certificate}
             2.COMODORSAAddTrustCA    {intermediate certificate 1}
             3.COMODORSADomainValidationSecureServerCA {intermediate certificate 2}
             4.www_example_com   {public key for my domain name}

    注意：在 Amazon ELB 中使用之前，我们需要将上述证书文件转换为.PEM 格式。这是通过使用以下命令完成的：

                 openssl x509 -inform PEM -in {above certificate file name}

    现在我去ELB的Listeners部分配置HTTPS。ELB HTTPS 有三个括号，分别称为：

                 1.Private Key {paste the private key which was generated using openSSL}
             2.Public Key Certificate {paste the public key of www_example_com certificate}
             3.Certificate Chain {paste the intermediate and Root certificate}

    在第一次尝试中，按照亚马逊的指导，证书链部分是可选的。我继续让它空白。它在 PC 浏览器中运行良好。尝试在android移动浏览器中打开它时出现了问题。

    我在这里找到了解决方案：在 Amazon Elastic Load Balancer 上设置 SSL并为 SSL 证书安装链接创建 .pem 文件。

    因此，为避免这种情况，我按以下顺序包含了链式证书：

                 COMODORSADomainValidationSecureServerCA 
             COMODORSAAddTrustCA    
             AddTrustExternalCARoot

    我已将上述三个证书（包括开始和结束标签）复制粘贴到链证书括号中。

    现在它完成了。太好了，它工作得很好。现在，当我使用Wormly Test SSL Web Server检查它时，我的 SSL 配置显示为 100% 安全 。

    谢谢你。

    • 14
  2. Best Answer

    我刚刚解决了这个问题，证书链的正确顺序如下：

    OV_NetworkSolutionsOVServerCA2
OV_USERTrustRSACertificationAuthority
AddTrustExternalCARoot

    祝你好运！

    • 8

  3. 在与此斗争近两个小时后，我们发现重新排序中介证书不起作用。尽管证书已导入证书管理器，但它对 Application Load Balancer 不可见。

    进一步挖掘，我发现 AWS 上的一篇文章明确指出，要使用 4096 位证书，您需要使用 IAM CLI 导入它。

    你可以在这里阅读

    https://aws.amazon.com/premiumsupport/knowledge-center/elb-ssl-tls-certificate-https/

    和这里

    https://aws.amazon.com/premiumsupport/knowledge-center/import-ssl-certificate-to-iam/

    • 1

  4. 只需使用

    1. OV_NetworkSolutionsOVServerCA2
    2. OV_USERTrustRSACertificationAuthority

    文件

    不需要AddTrustExternalCARoot文件

    • 0

相关问题