主页 / server / 问题 / 832581
Accepted
Jeff Hines
Asked: 2017-02-15 14:35:02 +0800 CST

Pure-ftp SSL 证书：键值不匹配

  • 772

我收到了来自 GoDaddy 的新 SSL 证书，旧的来自 Comodo。

内容/etc/ssl/private/pure-ftpd.pem如下：

 -----BEGIN PRIVATE KEY-----     
 PRIVATE KEY USED TO CREATE THE CSR
 -----END PRIVATE KEY-----
 -----BEGIN CERTIFICATE-----
 CONTENTS OF CRT FILE RECEIVED BY GODADDY
 -----END CERTIFICATE-----

更新文件内容后，我重新启动pure-ftpd然后检查状态：

 /etc/init.d/pure-ftpd restart
 /etc/init.d/pure-ftpd status

 [ ok ] pure-ftpd is running.

一切似乎都很好。现在我尝试验证新证书：

编辑CRT：我将GoDaddy 提供的“捆绑”文件添加到 中，现在我得到了这个输出（但由于下面显示的错误，/etc/ssl/certs我仍然无法重新启动）apache2

 openssl verify -CApath /etc/ssl/certs /etc/ssl/private/pure-ftpd.pem

 pure-ftpd.pem: OK

然后我尝试重新启动apache2（假设这会告诉系统使用新证书）：

 apache2ctl graceful

 httpd not running, trying to start
 Action 'graceful' failed.
 The Apache error log may have more information.

阿帕奇错误日志：

 [error] Unable to configure RSA server private key
 [error] SSL Library Error: 185073780 error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch

看似相关的部分/etc/apache2/sites-available/default-ssl： 如果我生成了新的私钥，是否需要以某种方式更新PEM声明为的文件？SSLCertificateFile（如果是这样，它究竟需要什么，以及如何实现这一点？）

 SSLCertificateFile    /etc/ssl/certs/my.server.net.pem
 SSLCertificateKeyFile /etc/ssl/private/my.server.net.key

我还尝试使用这些命令来比较每个文件的模数，它们是相同的：

 openssl x509 -noout -modulus -in /etc/ssl/private/pure-ftpd.pem | openssl md5
 openssl rsa -noout -modulus -in /etc/ssl/private/my.server.net.key | openssl md5

谁能指出我正确的方向？

另一个编辑：当我通过 FileZilla 等客户端访问 FTP 服务器时，我收到了新 GoDaddy 证书的凭据。太好了，但是这个问题让我发疯了！

ssl ssl-certificate apache2 pureftpd

1 个回答

  1. Best Answer

    如果我生成了新的私钥，是否需要以某种方式更新声明为 SSLCertificateFile 的 PEM 文件？

    是的，因为证书是指密钥的公共部分（以及其他数据，如有效期），所以这个公共部分必须与 .key 文件中的私有部分匹配。您不能单独生成它们。

    如果您在开始时提供的是新证书，则必须创建 2 个文件my.server.net.pem，.key并将部分放在 .key 文件中的 BEGIN PRIVATE KEY/END PRIVATE KEY（包括这些行）中，然后将下一部分（带有标题) 在 .pem 文件中。然而，Apache2 TLS 最后的工作还取决于证书中的 CN + SAN。如果它只针对名称ftp.myserver.whatever而不是针对，www.myserver.whatever则浏览器将显示警报（因为名称不匹配）。

    • 2

相关问题