Incluindo 2 CAs no VirtualHost no Apache usando httpd para handshake de telefone/servidor https

Question

Estou tentando carregar um certificado de servidor do godaddy, então tenha xxxxxxx.crt e bundle.crt, criei uma chave/csr que usamos para criar os certificados. Agora estou tentando carregar outro certificado, pois o telefone que estamos usando precisa se comunicar com nosso servidor e, em seguida, espero descobrir a CA do fabricante para provisionar com segurança.

Minha configuração inicial ficou assim:

<VirtualHost ip.ip.ip.ip:443>
    JkMount /* worker1
    JkMount / worker1

    ServerAdmin [email protected]
    ServerName identifier.server.domain.co.uk

    SSLEngine on
    SSLVerifyClient require

    SSLCertificateFile /path/path/XXXXXXXXxxxxxxx.crt
    SSLCACertificateFile /path/path/gd_bundle-g2.crt
    SSLCertificateKeyFile /path/path/polycom.key

    SSLCertificateFile /path/path/Polycom_Root_CA.crt

    SSLVerifyDepth 10
    SSLOptions +ExportCertData

    ErrorLog logs/identifier.server.domain.co.uk-error_log
    CustomLog logs/identifier.server.domain.co.uk-access_log common
</VirtualHost>

Quando comento o certificado Polycom, posso reiniciar o httpd sem erros, mas tentar incluir isso interrompe a reinicialização. Estou fazendo algo incrivelmente estúpido ou preciso concatenar os certificados?

Answer 1

Você não pode carregar dois certificados em um único host virtual. Isso não faz sentido

A regra é um certificado x509 por host virtual.

Se você deseja adicionar CAs na cadeia que assinou seu certificado, basta adicioná-los em um único SSLCACertificateFile.

Além disso, lembre-se de que na versão 2.4 você pode simplesmente pular SSLCACertificateFile e adicionar toda a cadeia de certificados em SSLCertificateFile da folha à raiz.

Answer 2

Corrigi meu problema percebido ao formatar o arquivo Polycom CA como PEM em vez de DER e transformá-lo em SSLCACertificateFile e fazer a alteração;

SSLCertificateChainFile /path/path/gd_bundle-g2.crt

Agora recebo um aperto de mão positivo do telefone para o servidor e pacotes seguros são entregues.