![调试 curl FTPS 连接,使用客户端身份验证证书(OpenSSL)](https://linux22.com/image/695345/%E8%B0%83%E8%AF%95%20curl%20FTPS%20%E8%BF%9E%E6%8E%A5%EF%BC%8C%E4%BD%BF%E7%94%A8%E5%AE%A2%E6%88%B7%E7%AB%AF%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E8%AF%81%E4%B9%A6%EF%BC%88OpenSSL%EF%BC%89.png)
(从 StackOverflow 移出)我被要求使用客户端身份验证证书设置 FTPS 连接。我是客户端,连接到服务器。我在 Windows 7 工作站上,在防火墙后面,尽管此连接最终将在专用的 CentOS VM 上使用。其他一些信息:
- 仅限 TLS 1.2
- 仅限被动模式
- 我的 WAN IP 已列入白名单
- 我现在正在连接到一个测试 URL
- 没有出站防火墙(只有入站规则)
- 密钥应以 PEM 格式发送
我从 Comodo 购买了证书,并使用 IE10 生成了证书。我从 IE 导出了完整的证书,包括私钥和扩展属性,格式为 .pfx。
我编写了一个小批处理文件,使用 OpenSSL 从 .pfx 中提取必要的部分:
::Extract the private key from the PFX
openssl pkcs12 -in comodo.pfx -nocerts -out encrypted.key
::Extract unencrypted private key
openssl rsa -in encrypted.key -out decrypted.key
::Extract the public cert in Base64 from the PFX
openssl pkcs12 -in comodo.pfx -clcerts -nokeys | openssl x509 -out comodo.cer
::Extract the chain bundle from the PFX
openssl pkcs12 -in comodo.pfx -nodes -nokeys -cacerts | openssl x509 -out comodo.crt
使用提取的关键部分,我一直在尝试各种 curl (v7.46.0) 命令来连接到 FTPS 服务器。连接一直失败。我最近的尝试如下。错误几乎总是相同的。
curl -3 -k -v --ftp-ssl --tlsv1.2 --ftp-ssl-reqd --ftp-pasv --key decrypted.key --cacert comodo.crt --cert comodo.cer --user REMOVED:REMOVED ftp://ftps.REMOVED/
输出示例如下:
> curl -3 -v -k --user REMOVED:REMOVED --ftp-ssl --tlsv1.2 --ftp-ssl-reqd --ftp-skip-pasv-ip --cert comodo.cer --key priv.pem ftp://ftps.REMOVED/
* Trying REMOVED_IP.
* Connected to ftps.REMOVED (REMOVED_IP) port 21 (#0)
< 220 Service ready for new user.
> AUTH SSL
< 234 Command AUTH okay; starting SSL connection.
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* Unknown SSL protocol error in connection to ftps.REMOVED:21
* Closing connection 0 curl: (35) Unknown SSL protocol error in connection to ftps.REMOVED:21
>pause
Press any key to continue . . .
奇怪的是,如果我使用 FileZilla 连接,我似乎可以通过 TLS 握手,但当我尝试上传文件时,我收到不同的错误。由于此连接最终将通过 curl 建立,因此我专注于这种方法。
我已经尝试了一周多了。服务器管理员从我的提供商处购买了证书,可以毫无问题地连接。我对此感到困惑。任何帮助都将不胜感激。一般的 curl / ftps 调试技巧也将不胜感激。
答案1
这最终不是 FTP 问题。客户端系统只允许一个 CA 证书与一个用户关联,因此我们的一些虚拟用户阻止了 CA 密钥被接受。不过还是感谢大家的帮助。