Назад | Перейти на главную страницу

Проверить код возврата: 21 (невозможно проверить первый сертификат)

У меня возникают проблемы с OpenSSL, когда я жалуюсь на то, что не могу проверить локально выпущенный сертификат, где у меня также есть цепочка CA. У меня есть сертификат, выпущенный на местном уровне (PEM и CRT) в дополнение к сертификату локальной цепочки CA (CER, PEM, CRT). Корневой сервер и эмитент - это один и тот же сервер. Сравнивая текст на обоих сертификатах, оба совпадают по полю «эмитент:» на обоих. Это сервер RedHat Linux.

Я получаю сообщение об ошибке «Проверить ошибку: число = 20: невозможно получить сертификат местного эмитента» и «Проверить код возврата: 21 (невозможно проверить первый сертификат)».

Я больше не знаю, что искать.

Действия по устранению неполадок

Я добавил сертификат CA Issuer CA в сертификаты linux, используя cerutil certutil -d /etc/pki/nssdb -A -t "C,," -n DomainA1-Server1CA -i /root/DomainA1-Server1CA.cer
Ран certutil -d /etc/pki/nssdb -L и я вижу там сертификат:

Псевдоним сертификата Атрибуты доверия SSL, S / MIME, JAR / XPI Domain A1-Server1CA C ,,
Ран openssl s_client -connect ServerA2:443 -CAfile /root/certs/DomainA1-Server1CA.cer, попробовал с (.CRT и .PEM), получил две ошибки выше.
Ран openssl s_client -connect ServerA2:443 -CApath /root/certs, попробовал с (.CRT и .PEM), получил две ошибки выше.
Ран openssl s_client -connect ServerA2:443, получил две ошибки выше.

Выпущенный фрагмент сертификата

    Data:
    Version: 3 (0x2)
    Serial Number:
    54:a9:50:a3:00:01:00:00:14:47
    Signature Algorithm: sha1WithRSAEncryption
    Issuer: DC=com, DC=domainA1, CN=DomainA1-Server1CA
    Validity
    Not Before: April  5 16:45:48 2017 GMT
    Not After : April  5 16:45:48 2019 GMT
    Subject: C=US, ST=NY, L=CityA, O=CompanyNAME, OU=IT,
    CN=ServerB1.DomainA1.com

CA Chain Cert

    Data: Version: 3 (0x2) 
    Serial Number: 19:11:eb:af:4c:d5:a9:94:49:ka:2f:41:f2:e1:09:g2 
    Signature Algorithm: sha256WithRSAEncryption 
    Issuer: DC=com, DC=domainA1, CN=DomainA1-Server1CA 
    Validity 
    Not Before: Aug 15 18:41:45 2015 GMT 
    Not After : Aug 15 18:41:45 2025 GMT Subject: DC=com, DC=domainA1,                 
    CN=DomainA1-Server1CA Subject Public Key Info: 
    Public Key Algorithm: rsaEncryption Public-Key: (2048 bit)

        ...C.A
    X509v3 Key Usage:
        Digital Signature, Certificate Sign, CRL Sign
    X509v3 Basic Constraints: critical
        CA:TRUE
    X509v3 Subject Key Identifier:

openssl