☰

SSL ルーチン:ssl23_write:ssl ハンドシェイク失敗:s23_lib.c:177:

tag-icon • tag-icon openssl openldap certificate-authority debian-jessie
SSL ルーチン:ssl23_write:ssl ハンドシェイク失敗:s23_lib.c:177:

私は openldap マスターと 2 つの openldap スレーブを持っています。非自己署名 CA を使用しています。

openldap マスター: 名前 debian ベース、stretch
slapd 2.4.44+dfsg-5+d amd64
openssl 1.1.0f-3+deb9u1 amd64

openldap スレーブ: 名前 debian1 ベース、stretch
slapd 2.4.44+dfsg-5+d amd64
openssl 1.1.0f-3+deb9u1 amd64

openldap マスター: 名前 ldap ベース o oracle linux 7.4
slapd 2.4.44-5.el7.x86_64
openssl-1.0.2k-8.0.1.el7.x86_64

Oracle Linux ベースの openldap クライアントは、Debian strech ベースの ldap マスターに接続できませんでした。

スレーブ Debian とスレーブ Oracle Linux で行ったこと:

root@debian1:~# openssl verify -CAfile /etc/ssl/contatogs.com.br/cacert.pem /etc/ssl/contatogs.com.br/newcerts/cn\=debian1\,ou\=computers\,dc\=contatogs\,dc\=com\,dc\=br.crt.pem 
/etc/ssl/contatogs.com.br/newcerts/cn=debian1,ou=computers,dc=contatogs,dc=com,dc=br.crt.pem: **OK**

[root@ldap ~]# openssl verify -CAfile /etc/openldap/cacerts/cacert.pem /etc/openldap/certs/cn\=ldap\,ou\=>
/etc/openldap/certs/cn=ldap,ou=computers,dc=contatogs,dc=com,dc=br.crt.pem: **OK**

今のところ順調です80)

現在、debian1 スレーブで問題が発生している可能性があります:

root@debian1:~# openssl s_client -connect debian.contatogs.com.br:389 -CAfile /etc/ssl/contatogs.com.br/cac
ert.pem  -state 
CONNECTED(00000003)
SSL_connect:before SSL initialization
SSL_connect:SSLv3/TLS write client hello
**SSL_connect:error in SSLv3/TLS write client hello**
write:errno=0
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 176 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1519415735
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)
    Extended master secret: no

しかし、このエラー/警告にもかかわらず、debian/debian のみのマスター/スレーブは動作します。

現在、Oracle Linux はまったく動作しません......

[root@ldap ~]# 
<contatogs.com.br:389 -CAfile /etc/openldap/cacerts/cacert.pem  -state
CONNECTED(00000003)
SSL_connect:before/connect initialization
SSL_connect:SSLv2/v3 write client hello A
139967037114272:error:140790E5:SSL routines:ssl23_write:ssl handshake failure:s23_lib.c:177:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 289 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
   PSK identity: None
    PSK identity hint: None
    Start Time: 1519415876
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)

問題は CA にあるとほぼ確信していますが、修正方法がわかりません...80)

どのような助けでも大歓迎です。

答え1

こんにちは、今後の検索のために、このエラーを取り除く正しい方法を見つけました。スレーブの証明書を作成するときは、クライアント部分 (TLS Web クライアント) を使用して作成しました。正しい方法は、サーバー (TLS Web サーバー) として証明書を作成することです。このエラーを発見するのに役立ったのは、serverfault の別の投稿で、次のコマンドが使用されていました: openssl verify -purpose sslserver -CAfile cacert.pem ldaprov1.crt

関連情報