sslを使用する場合、apache2からvertx 3への移行

Question

apache2のhttpdから（Javaベースの）vert.x 3サーバーに移行する必要があります。 apache2のhttpdのが成功のssl.confには、次の3つの証明書/キーファイル（短縮パス）を使用して設定することができます

<VirtualHost> 
    ... 

    SSLCertificateFile certificate.cer 
    SSLCertificateKeyFile privatekey.key 
    SSLCertificateChainFile intermediate.cer 

    ... 
</VirtualHost> 

ブラウザは文句なしのHTTPS接続を受け入れました。

vert.x 3のキーストアを作成し、それを実行した後、ブラウザが私に語った：まだ

www.mydomain.com uses an invalid security certificate. 
The certificate is not trusted because the issuer certificate 
is unknown. The server might not be sending the appropriate 
intermediate certificates. 
An additional root certificate may need to be imported. 
Error code: SEC_ERROR_UNKNOWN_ISSUER 

、ブラウザは、右のサーバ証明書と中間証明書を受け取るように思われます。

よく動作するapache2 httpdの設定で、（厳しいGeoTrustルート証明書の）ルート証明書がどのように使用されているかを知るにはどうすればよいですか？ これをjavaキーストアに含める必要がありますか？

「はい」の場合、httpdは正しいルート証明書をどのように見つけるのですか？

.../mozillaフォルダは、サーバーのルート証明書を取得するのに適していますか（ブラウザで使用する証明書の場所だと思いますが）？

代わりの説明を除外する：vertxには、sslの機能に既知のバグがありますか？

Answer 1

Vert.x SSL構成は、Java keystoresまたはOpenSSLのいずれかを使用して行うことができます。どちらも長所と短所がありますが、ApacheからVert.xに移行する場合、最短パスはOpenSSLエンジンを使用します。

プロジェクトで1つの余分の依存関係が必要になりますOpenSSLエンジンを使用するには：

<dependency> 
    <groupId>io.netty</groupId> 
    <artifactId>netty-tcnative-boringssl-static</artifactId> 
    <version>1.1.33.Fork21</version> 
</dependency> 

これはNettyはOpenSSLを使用するか、より正確BoringSSLため、既存の証明書を使用できるようになります。

new HttpServerOptions() 
    .setSsl(true) 
    .setPemKeyCertOptions(
    new PemKeyCertOptions() 
     .setKeyPath("privatekey.key") 
     .setCertPath("certificate.cer"))); 

キーストアのオプションの設定は、秘密鍵とそのプライバシーが強化された電子メールに基づいて証明書（PEM）ファイルを期待：ロード証明書は、このようHttpOptionsオブジェクトを作成することによって行われます。

鍵ファイルは、例えば、PEMブロックに包まれPKCS8形式で非暗号化された秘密鍵が含まれている必要があります。

-----BEGIN PRIVATE KEY----- 
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQDV6zPk5WqLwS0a 
... 
K5xBhtm1AhdnZjx5KfW3BecE 
-----END PRIVATE KEY----- 

証明書ファイルがために、PEMブロックに包まれたX.509証明書が含まれている必要があります例：

-----BEGIN CERTIFICATE----- 
MIIDezCCAmOgAwIBAgIEZOI/3TANBgkqhkiG9w0BAQsFADBuMRAwDgYDVQQGEwdV 
... 
+tmLSvYS39O2nqIzzAUfztkYnUlZmB0l/mKkVqbGJA== 
-----END CERTIFICATE----- 

あり、証明書チェーンのための本当のサポートはありませんが（あなたが公共の対向サイトを持っている場合）あなたが訪問し、それを回避することができます：https://whatsmychaincert.com/と正しいチェーンをダウンロードする（キープ未確認の「ルート証明書を含めます」） 。そのダウンロードはcertificate.cerになります。