CentOS 7 — 不接受任何 SSL 证书

Question 1

我会检查你的 nss 安装。它可能已经过期/损坏了。

检查你正在运行的版本；centos 7 上的最新版本应该是：

nss-config version
3.21.0

然后检查是否有任何 nss 包已被修改/损坏：

rpm -Vv nss-*

根据您的结果，可能需要 nss 更新或重新安装。

您可以通过临时更改该目录的权限（以 root 身份）来半确定地查看这是否是 nss 的问题：

chmod 400 /etc/pki/nssdb/*

然后以普通用户身份发出 curl 命令 - 如果它有效，它将输出如下内容：

* Connected to google.com (172.217.4.206) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* Unable to initialize NSS database
* Initializing NSS with certpath: none
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: none
* SSL connection using TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
* Server certificate:
<clipped>

这表明它只是使用了 CA 证书而不是基于 nssdb 的身份验证。

如果这不是与 nss 相关的问题，那么这里有一个RHEL 指南这也适用于 CentOS，它将指导您确保拥有干净的 CA 证书配置。我不认为该链接位于他们的付费墙后面；如果您需要它但无法访问它，请告诉我。

Answer

我会检查你的 nss 安装。它可能已经过期/损坏了。

检查你正在运行的版本；centos 7 上的最新版本应该是：

nss-config version
3.21.0

然后检查是否有任何 nss 包已被修改/损坏：

rpm -Vv nss-*

根据您的结果，可能需要 nss 更新或重新安装。

您可以通过临时更改该目录的权限（以 root 身份）来半确定地查看这是否是 nss 的问题：

chmod 400 /etc/pki/nssdb/*

然后以普通用户身份发出 curl 命令 - 如果它有效，它将输出如下内容：

* Connected to google.com (172.217.4.206) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* Unable to initialize NSS database
* Initializing NSS with certpath: none
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: none
* SSL connection using TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
* Server certificate:
<clipped>

这表明它只是使用了 CA 证书而不是基于 nssdb 的身份验证。

如果这不是与 nss 相关的问题，那么这里有一个RHEL 指南这也适用于 CentOS，它将指导您确保拥有干净的 CA 证书配置。我不认为该链接位于他们的付费墙后面；如果您需要它但无法访问它，请告诉我。

Question 2

您在什么环境下运行CentOS7？

有一个与以下相关的严重错误Centos 6.8在 (Zen) 虚拟化和/或 CPU AES 支持下的系统上更新 / NSS 3.21.0-8.el6。在 Rackspace 和 AWS t1.micro 实例上，我在 CentOS 6.8 和 NSS 更新后都遇到了这个问题。

我相信您遇到了与 Centos7 NSS 更新相关的问题。

https://www.centos.org/forums/viewtopic.php?t=58002

https://bugs.centos.org/view.php?id=10930#c26705

如何检查我的 CPU 是否支持 AES-NI？ https://unix.stackexchange.com/questions/14077/how-to-check-that-aes-ni-is-supported-by-my-cpu

6.8 上有些人已经成功通过设置环境变量降级 NSS：“NSS_DISABLE_HW_GCM=1”

# NSS_DISABLE_HW_AES=1
# yum downgrade nss nss-util nss-tools nss-sysinit
# yum install yum-plugin-versionlock
# yum versionlock add! nss-3.21.0-0.3.el6_7.x86_64 nss-sysinit-3.21.0-0.3.el6_7.x86_64 nss-tools-3.21.0-0.3.el6_7.x86_64 nss-util-3.21.0-0.3.el6_7.x86_64

再次强调，以上代码适用于 6.8，而不是 CentOS 7

我发现了nss-3.21.0-0.3。el6_7.x86_64 已贬值且不可用。我已从 6.8 更新之前的映像备份重新加载了整个服务器，并且 YUM 版本锁定了 nss nss-sysinit nss-tools nss-util，然后才再次更新。

注意：我会将以上信息添加为“评论”而不是“答案”，但我的低声誉分数使我无法发表评论，我只能“回答”。

我希望这有帮助。

Answer