我想运行具有安全客户端连接的 jabberd2 服务器 (V 2.40)。
我按照文档中的说明操作,服务器已启动并运行:
https://github.com/jabberd2/jabberd2/wiki/InstallGuide-OpenSSLConfiguration
但似乎没有安全的客户端连接。
当我按照请求证书的提示操作时,没有对等证书:
从 jabber 服务器获取 SSL 证书链
openssl s_client -connect my.jabber.server.net:5222 </dev/null
CONNECTED(00000003)
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 648 bytes and written 117 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
实际配置是
<local>
<pemfile>/etc/jabberd2/jabber.pem</pemfile>
<verify-mode>7</verify-mode>
<require-starttls>1</require-starttls>
<ciphers>EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH</ciphers>
<id register-enable='mu'>domainname.de</id>
</local>
按照 c2s.xml 中的提示,我将其改为
<local>
<id realm='domainname.de'
pemfile='/etc/jabberd2/jabber.pem'
ciphers='EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH'
verify-mode='7'
require-starttls='mu'
instructions='Geben Sie einen gueltigen Benutzernamen mit Passwort an um einzuloggen!'
>domainname.de</id>
<id password-change='mu' />
</local>
然后 openssl 测试成功
---
No client certificate CA names sent
---
SSL handshake has read 1700 bytes and written 138 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 1024 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1.2
Cipher : ECDHE-RSA-AES256-GCM-SHA384
Session-ID:
Session-ID-ctx:
Master-Key: 720846E32D...CA23
Key-Arg : None
PSK identity: None
PSK identity hint: None
SRP username: None
Start Time: 1484331794
Timeout : 300 (sec)
Verify return code: 18 (self signed certificate)
---
但是现在没有客户端会连接到服务器!
我用 pidgin 和 psi 测试了它,两者都报告了 ssl 握手错误!
阅读示例 c2s.xml 我发现:
<id realm='company.int'
pemfile='/etc/jabberd2/server.pem'
verify-mode='7'
cachain='/etc/jabberd2/client_ca_certs.pem'
require-starttls='mu'
register-enable='mu'
instructions='Enter a username and password to register with this server.'
register-oob='http://example.org/register'
password-change='mu'
>example.net</id>
那么可能是 client_ca_certs.pem 丢失了?
但我不知道如何生成它?
任何帮助都将非常有帮助。
答案1
-starttls xmpp
Jabber 在端口 5222 上使用 STARTTLS 协议扩展,因此测试时需要启用该扩展:
openssl s_client -connect my.jabber.server.net:5222 -starttls xmpp </dev/null
5222 虚拟主机的所有连接选项都直接设置为<id ... />
标签上的属性。
启用后,可以在端口 5223 上通过 SSL 直接建立 XMPP 隧道。您在标签下配置的选项将<local> ... <pemfile> etc...
配置 5223 端口。如果启用此功能,您可以-startls
像尝试的那样在不使用选项的情况下进行测试:
openssl s_client -connect my.jabber.server.net:5223 </dev/null