openssl s_clientを使用してEPPサーバーに接続する際のエラー

Question

現在、接続を確認するためにopenssl s_clientを使用してEPPサーバーに接続しようとしています。以下のコマンドは以下を出力します。

openssl s_client -connect example.com:700 

応答：私はその後、https://www.digicert.com/CACerts/DigiCertSHA2SecureServerCA.crt

からDigiCert SHA2セキュアサーバーCAをダウンロードするには進め

CONNECTED(00000003) 
depth=1 /C=US/O=DigiCert Inc/CN=DigiCert SHA2 Secure Server CA 
verify error:num=20:unable to get local issuer certificate 
verify return:0 
41282:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:/BuildRoot/Library/Caches/com.apple.xbs/Sources/OpenSSL098/OpenSSL0 98-64.30.2/src/ssl/s3_pkt.c:1145:SSL alert number 40 
41282:error:140790E5:SSL routines:SSL23_WRITE:ssl handshake failure:/BuildRoot/Library/Caches/com.apple.xbs/Sources/OpenSSL098/OpenSSL098-64.30.2/src/ssl/s23_lib.c:185: 

Iその後、再試行さとともに、OpenSSLを使用して作成自己署名証明書を使用して新しいDigiCert証明書。

openssl s_client -connect example.com:700 -CAfile DigiCertSHA2SecureServerCA.crt -key key.pem -cert cert.pem -debug 

また、同じエラーが発生します。私はここで何が間違っていますか？

Answer 1

クライアントから提供された情報から、クライアントはサーバーから証明書を取得し、ハンドシェイクを続行しますが、サーバーからhandshake_failure（アラート40）を返します。クライアントが提供しなかったクライアント証明書をサーバが取得しようとしているために、このエラーがハンドシェークのこの段階で発生する可能性があります。しかし、実際には、より多くの情報、理想的には接続の完全なパケットキャプチャが必要であることを確かめてください。

Answer 2

自己署名証明書を使用している場合は、-CAfileと-certの両方に同じファイルを使用する必要があります。 -CAfileでDigiCert CAを使用している場合は、-certにDigiCertによって署名された証明書である必要があります。

また、サーバーは証明書を受け入れる必要があります。つまり、事前にCA（および可能な中間CA）を用意する必要があります。