haproxy: Inkonsistenzen zwischen dem privaten Schlüssel und dem aus der PEM-Datei geladenen Zertifikat

Question

Ich versuche, das für einen anderen Server signierte Zertifikat zu verwenden. Ich habe sowohl privaten Schlüssel als auch Zertifikat.

Meine PEM-Datei Reihenfolge ist:

subject=/C=***/L=*****/O=**********/CN=********* 
issuer=/C=***/O=*****Inc/CN=********Secure Server CA 
-----BEGIN CERTIFICATE----- 
-----END CERTIFICATE----- 
subject=/C=US/O=******** Inc/CN=********* SHA2 Secure Server CA 
issuer=/C=US/O=********* Inc/OU=*********/CN=******** Global Root CA 
-----BEGIN CERTIFICATE----- 
-----END CERTIFICATE----- 
subject=/C=US/O=********* Inc/OU=***********/CN=*********** Global Root CA 
issuer=/C=US/O=********* Inc/OU=************/CN=******** Global Root CA 
-----BEGIN CERTIFICATE----- 
-----END CERTIFICATE----- 
-----BEGIN RSA PRIVATE KEY----- 
-----END RSA PRIVATE KEY----- 

Als ich versuchte, es zu meinem haproxy zu implementieren, ich diese Fehlermeldung bekam.

[ALERT] 188/141626 (2322) : parsing [/etc/haproxy/haproxy.cfg:32] : 'bind *:443' : inconsistencies between private key and certificate loaded from PEM file ................ 
[ALERT] 188/141626 (2322) : Error(s) found in configuration file : /etc/haproxy/haproxy.cfg 
[ALERT] 188/141626 (2322) : Proxy 'www-https': no SSL certificate specified for bind '*:443' at [/etc/haproxy/haproxy.cfg:32] (use 'crt'). 
[ALERT] 188/141626 (2322) : Fatal errors found in configuration. 
Errors in configuration file, check with haproxy check. 

Und meine haproxy Version ist:

HA-Proxy version 1.5.2 2014/07/12 
Copyright 2000-2014 Willy Tarreau <w@1wt.eu> 

ich meine haproxy mit selbst signierten Zertifikat starten kann. Warum tritt diese Inkonsistenz auf? Ich bin sicher, dass der private Schlüssel zum Zertifikat gehört.

Ich versuche seit Stunden, aber ich kann den Grund nicht finden.

Bitte helfen! Vielen Dank!

Answer 1

Die Reihenfolge der Zertifikate in Ihrer Datei ist falsch. Es scheint, dass Sie zuerst das Zwischenzertifikat (d. H. Secure Server CA) setzen, von dem erwartet wird, dass es das Serverzertifikat ist. Die Reihenfolge der Zertifikate muss sein:

• Serverzertifikat
• Server private Schlüssel (ohne Passwort)
• Zwischenzertifikat 1
• Zwischenzertifikat 2

Es ist eigentlich nicht, dass wichtig, wo Sie den privaten Schlüssel legen. Die Reihenfolge der Zertifikate muss jedoch streng von Blatt zu Wurzel geordnet werden, d. H. Zuerst das Serverzertifikat, dann das Zwischenprodukt und dann das Elternzertifikat. Grundsätzlich Sie das Serverzertifikat an erster Stelle, dann seine Unterzeichner, dann seine Unterzeichner, ...

Weitere Informationen finden Sie in the documentation.