☰

Der TLS-Handshake des FreeBSD 11-Port-Acme-Clients schlägt fehl

tag-icon • tag-icon ssl freebsd tls letsencrypt
Der TLS-Handshake des FreeBSD 11-Port-Acme-Clients schlägt fehl

Wenn ich den mit dem Ports-Tree von FreeBSD 11.0 gelieferten Acme-Client (acme-client-0.1.15_1) ausführe, tritt beim Handshake mit dem Letsencrypt-Server ein Fehler auf (2a02:26f0:7b:48f::3d5).

Ich habe libressl (libressl-2.4.5) installiert und hinzugefügt

DEFAULT_VERSIONS+=ssl=libressl

zu /etc/make.conf. Ich habe acme-client nach der Installation von libre-ssl installiert.

Dies ist die Ausgabe, wenn ich den Parameter -vv hinzufüge:

acme-client: /usr/local/etc/acme/privkey.pem: account key exists (not creating)
acme-client: /usr/local/etc/ssl/acme/private/pma.lxs.biz.pem: domain key exists (not creating)
acme-client: /usr/local/etc/acme/privkey.pem: loaded RSA account key
acme-client: /usr/local/etc/ssl/acme/private/pma.lxs.biz.pem: loaded RSA domain key
acme-client: https://acme-v01.api.letsencrypt.org/directory: directories
acme-client: acme-v01.api.letsencrypt.org: DNS: 2a02:26f0:7b:48f::3d5
acme-client: acme-v01.api.letsencrypt.org: DNS: 2a02:26f0:7b:48e::3d5
acme-client: acme-v01.api.letsencrypt.org: DNS: 23.62.131.169
acme-client: 2a02:26f0:7b:48f::3d5: tls_write: handshake failed: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
acme-client: 2a02:26f0:7b:48f::3d5: tls_read: handshake failed: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
acme-client: https://acme-v01.api.letsencrypt.org/directory: bad comm
acme-client: bad exit: netproc(60565): 1

Nach einer Nacht der Suche nach Lösungen fand ich Leute mit ähnlichen Problemen, aber mit anderer Software und Lösungen, die für mich nicht anwendbar waren oder funktionierten. Gehe ich recht in der Annahme, dass das Problem bei libressl liegt? Wie kann ich das testen oder besser noch das Problem lösen?

Antwort1

Das FreeBSD-Betriebssystem verfügt standardmäßig nicht über SSL-Zertifikate von Stammzertifizierungsstellen. Am einfachsten ist es, die Stammzertifikate von Mozilla zu verwenden, indem Sie sie vom security/ca_root_nssPort wie folgt installieren:

cd /usr/ports/security/ca_root_nss
make install clean

verwandte Informationen