Linux中使用curl命令訪問https站點4種常見錯誤和解決方法

2020-07-10 11:32:15

字體：大中小

來源：轉載

供稿：網友

每一種客戶端在處理https的連接時都會使用不同的證書庫。IE瀏覽器和FireFox瀏覽器都可以在本瀏覽器的控制面板中找到證書管理器。在證書管理器中可以自由添加、刪除根證書。

而Linux的curl使用的證書庫在文件“/etc/pki/tls/certs/ca-bundle.crt”中。（CentOS）

以下是curl在訪問https站點時常見的報錯信息

1.Peer’s Certificate issuer is not recognized

復制代碼

代碼如下:

[root@ip-172-31-32-208 Nginx]# curl https://m.ipcpu.com
curl: (60) Peer's Certificate issuer is not recognized.
more details here: http://curl.haxx.se/docs/sslcerts.html

此種情況多發生在自簽名的證書，報錯含義是簽發證書機構未經認證，無法識別。

解決辦法是將簽發該證書的私有CA公鑰cacert.pem文件內容，追加到/etc/pki/tls/certs/ca-bundle.crt。

我們在訪問12306.cn訂票網站時也報了類似的錯誤。

復制代碼

代碼如下:

[root@ip-172-31-32-208 ~]# curl https://kyfw.12306.cn/
curl: (60) Peer's certificate issuer has been marked as not trusted by the user.
More details here: http://curl.haxx.se/docs/sslcerts.html

2.SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

復制代碼

代碼如下:

[root@GO-EMAIL-1 aa]# curl https://github.com/
curl: (60) SSL certificate problem, verify that the CA cert is OK. Details:
error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
More details here: http://curl.haxx.se/docs/sslcerts.html

此問題多是由于本地CA證書庫過舊，導致新簽發證書無法識別。

經排查，github.com證書是由GTE CyberTrust Root簽發,現行證書時間是：

1.不早于(1998/8/13 0:29:00 GMT)
2.不晚于(2018/8/13 23:59:00 GMT)

而在我們的Redhat5.3系統中ca-bundle.crt文件發現，GTE CyberTrust Root的時間已經過期。

復制代碼

代碼如下:

Issuer: C=US, O=GTE Corporation, CN=GTE CyberTrust Root
Validity
Not Before: Feb 23 23:01:00 1996 GMT
Not After : Feb 23 23:59:00 2006 GMT

解決辦法是更新本地CA證書庫。

方法一：

下載http://curl.haxx.se/ca/cacert.pem 替換/etc/pki/tls/certs/ca-bundle.crt

方法二：

使用update-ca-trust 更新CA證書庫。（CentOS6，屬于ca-certificates包）