2

我已经设置了许多使用 SSL 的虚拟主机。一切正常。然后我需要将 SSL 客户端身份验证添加到其中之一（我们称之为 SVN 主机）。为 SVN 主机启用客户端证书后，主机停止工作，改为使用默认虚拟主机（这意味着将提供不匹配的服务器证书，因此既不能访问安全主机，也不能进行客户端身份验证工作）。

这是我正在使用的虚拟主机配置：

<VirtualHost *:443>

ServerName  svn.anydomain.com

SSLEngine on
SSLOptions +StrictRequire
SSLProtocol -all +TLSv1
SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:!SSLv3:RC4+RSA:+HIGH:+MEDIUM

SSLCertificateFile /etc/certs/svn.crt
SSLCertificateKeyFile /etc/certs/svn.key
SSLCertificateChainFile /etc/certs/starcom/sub.class1.server.ca.pem
SSLCACertificateFile /etc/certs/cacert.crt
SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown

SSLVerifyClient require
SSLVerifyDepth 2
SSLUserName SSL_CLIENT_S_DN_CN

<Location /path0>
    DAV svn
    SSLRequireSSL
    SVNPath /var/svn/path0
    #Require valid-user
</Location>

<Location /path1>
    DAV svn
    SSLRequireSSL
    SVNPath /var/svn/path1
    #Require valid-user
</Location>

</VirtualHost>

另外，我似乎只在 Mac OS X 上遇到了这个问题。我可以毫不费力地从 Windows 8 访问主机。基本上，在我的 Mac 上，我只能使用 curl 中的这些选项（有时，不一致）

curl -v -v -v -1 -k --cacert Documents/Certs/CACert.pem --cert Documents/Certs/ClientCert.pem  https://svn.anydomain.com/path1

这反而失败了（注意 SSLv3 而不是 TLSv1 的 -3 而不是 -1）

curl -v -v -v -3 -k --cacert Documents/Certs/CACert.pem --cert Documents/Certs/ClientCert.pem  https://svn.anydomain.com/path1

并返回默认虚拟主机的证书。这种行为（错误的虚拟主机）是我在我的 Mac（Safari、Eclipse+Subversive、Cornerstone 等）上对该域的任何访问所获得的。

有任何想法吗？

4

2 回答 2

1

您是否在 httpd.conf 中调高了日志级别？尝试在启用调试消息的情况下运行并 tail -f 错误日志以查看是否出现任何有趣的内容。

SSL 客户端身份验证的一个常见问题是 SSLVerifyDepth 参数。SSLVerifyDepth 数字至少需要与客户端证书链中的证书数量一样大。
示例：SSLVerifyDepth 10

深度实际上是中间证书颁发者的最大数量，即验证客户端证书时最大允许遵循的CA证书的数量。深度 0 表示仅接受自签名客户端证书，默认深度 1 表示客户端证书可以自签名或必须由服务器直接知道的 CA 签名（即 CA 的证书是SSLCACertificatePath 下）等

http://www.modssl.org/docs/2.6/ssl_reference.html

于 2014-03-11T03:38:40.707 回答
1

在您的 apache 配置文件中，确保您已添加：

NameVirtualHost *:443

请参阅http://wiki.apache.org/httpd/NameBasedSSLVHostsWithSNI

确保在使用该 ip 和端口NameVirtualHost的任何人之前进行。<VirtualHost ...>如果您忘记/放错了NameVirtualHost行或浏览器不支持 SNI，Apache 将选择第一个可用的 vHost。

于 2013-07-03T00:34:45.903 回答