LINUX.ORG.RU
решено Форум — Admin  

Openfire server & Spark client проблема с сертификатом ssl/tls

 ,


0

1

Всем Привет!

Не могу разобраться в проблеме может кто поможет, есть только что установленный и настроенный сервер Openfire 4.7.4, есть клиент Spark 3.0.0.

Хочу запустить чтобы всё работало как надо с ssl/tls шифрованием. Если его отключить в настройках то клиент без проблем соединяется с сервером и всё работает. Но если использовать ssl/tls который включен по умолчанию, то я получаю ошибку в Spark «Ошибка проверки имени хоста сервера». Хост имеет имя openfire.son.local, dns и ptr отрабатывают правильно. В настройках сервера openfire я обновил информация в разделе «Хранилище сертификатов удостоверений Openfire», пробовал скачать и установить от туда сертификат на ПК Windows 10, но всё равно ошибка в Spark при подключении.

Если нажать детали ошибки то там "…Hostname verification of certificate failed. Certificate does not authenticate openfire… "



Последнее исправление: supp0rtmail2019 (всего исправлений: 2)

Ответ на: комментарий от Anoxemian

Хочу понять почему клиент не подключается, если не включить функцию «Отключить проверку имени хоста» и что нужно сделать чтобы всё работало корректно и как задумано автором программы.

supp0rtmail2019
() автор топика
Ответ на: комментарий от Anoxemian

…что нужно сделать чтобы всё работало корректно…

Куда его нужно подсунуть? Выпустить на сервере opefire сертификаты передать на клиентский ПК и где-то в openfire прописать? в инструкциях в интернете по этому вопросу что-то мало понятно, может я что-то не догоняю?!?

supp0rtmail2019
() автор топика
Ответ на: комментарий от supp0rtmail2019

я что-то не догоняю?!?

да.

Ты не можешь сделать валидный сертификат для зоны .local

Вернее, можешь, но для этого надо каждому клиенту всунуть левый/самоподписанный корневой сертификат.

Anoxemian ★★★★★
()
Ответ на: комментарий от Anoxemian

Это не проблема.

Я так понял что нужно просто взять с сервера самоподписанный корневой сертификат, но где именно он там храниться я не пойму. Ну распространить на клиентах в доверенных корневых я уже смогу.

supp0rtmail2019
() автор топика
Ответ на: комментарий от Anoxemian

Сгенерировал, добавил на сервер openfire установил на клиентский ПК корневой сертификат в доверенные, он же установлен и на сервер вместе с закрытыми ключами, в настройках сервера openfire статус сертификата теперь подписан CA с галочкой, но ошибка «Ошибка проверки имени хоста сервера», всё равно не куда не исчезла, так в чём же дело не могу понять?!?

supp0rtmail2019
() автор топика
Ответ на: комментарий от Anoxemian

openfire серверные сертификат(добавлен в openfire server в «Хранилище удостоверений»)

                  =openfire.crt=

Certificate: Data: Version: 3 (0x2) Serial Number: bd:ce:35:44:47:ed:27:7f:7e:97:ce:d4:b8:d0:c0:9e Signature Algorithm: sha256WithRSAEncryption Issuer: CN=openfire.son.local Validity Not Before: Nov 22 09:03:57 2022 GMT Not After : Feb 24 09:03:57 2025 GMT Subject: CN=openfire.son.local Subject Public Key Info: Public Key Algorithm: rsaEncryption RSA Public-Key: (2048 bit) Modulus: 00:ee:22:e4:a3:9b:73:05:e0:69:01:ba:14:d8:6b: 8e:d0:41:f9:3b:ff:ea:4d:61:2b:c0:f8:09:d1:67: 1f:c1:19:d3:b8:62:93:8c:40:ff:f6:a0:8f:0e:37: 10:a8:a9:c1:3e:df:b5:38:22:eb:9f:a4:3a:bc:cf: 06:01:32:b3:00:52:f8:d9:b2:82:ce:10:24:7d:ca: 5a:a1:a5:8a:b0:3c:16:9c:95:66:71:29:f2:e4:89: 49:33:55:a8:0c:f8:cc:da:f2:a6:15:19:f8:d0:0c: 45:3a:d3:ea:1f:79:85:56:6a:3a:da:58:07:16:35: aa:3d:67:e1:4e:6e:3f:90:43:5a:eb:31:bb:b2:90: 22:1c:c1:0d:76:a4:ce:50:96:75:46:68:dd:f5:42: 1d:40:4f:92:68:14:37:1c:65:c0:8a:e0:ed:4d:45: 67:a6:57:4c:d8:a1:8a:05:88:cb:77:2f:a7:12:20: 24:19:0e:bc:59:15:b0:1d:83:e5:eb:04:58:2d:a3: cb:39:d9:df:9b:00:df:a6:4c:ad:ee:83:55:9e:cf: a1:67:ca:35:f9:3c:a9:29:d8:60:11:07:1a:5e:97: 1a:e7:50:bb:1b:de:52:b3:79:c7:c9:d2:19:ad:b0: 5c:4a:d7:e9:68:98:73:dd:0d:6e:00:51:df:6a:ce: 67:1f Exponent: 65537 (0x10001) X509v3 extensions: X509v3 Basic Constraints: CA:FALSE X509v3 Subject Key Identifier: 43:F2:B8:5C:49:18:ED:42:A0:D4:4D:24:A1:19:2E:DD:12:6C:FA:2B X509v3 Authority Key Identifier: keyid:1A:EC:25:CA:74:E9:27:F7:19:B2:91:9D:1F:AD:7C:C2:90:8D:8F:6C DirName:/CN=openfire.son.local serial:10:4E:BB:56:AC:B5:C6:C9:E5:D5:96:90:B9:03:26:AE:03:33:5A:32

        X509v3 Extended Key Usage: 
            TLS Web Server Authentication
        X509v3 Key Usage: 
            Digital Signature, Key Encipherment
        X509v3 Subject Alternative Name: 
            DNS:openfire.son.local
Signature Algorithm: sha256WithRSAEncryption
     34:83:d3:5a:4c:5e:24:1e:3b:f0:a2:b8:ce:fd:28:46:84:82:
     5a:9d:1f:f3:8f:ba:49:c8:d7:58:cb:9f:55:10:83:32:40:f7:
     35:23:f8:67:59:ee:36:5b:79:b9:cb:fe:a0:ae:fb:60:b1:70:
     ca:77:b2:3e:20:be:68:ea:87:df:94:69:42:e5:f9:bc:c1:c5:
     f9:ce:cd:fe:f1:57:92:ce:ab:fd:82:18:9a:b5:42:03:59:21:
     9f:9f:a5:74:97:75:b8:f0:47:80:bd:81:fb:74:17:46:26:7f:
     7b:70:f7:8a:98:4b:5d:cc:e1:e6:21:ed:9a:30:8d:90:1e:c8:
     db:c8:fc:14:56:85:35:98:d6:08:1c:9f:cc:80:ae:01:67:4e:
     8c:c7:ee:c8:85:d5:8a:7d:60:b9:81:4c:41:b7:8e:45:3e:a4:
     fe:a1:c8:60:4e:1d:5a:df:02:49:8a:21:4b:44:a3:6d:f8:ae:
     12:a9:22:0e:27:22:85:02:76:a2:1c:16:49:f0:84:7c:73:dd:
     df:6f:59:41:10:1c:02:35:f6:f5:c8:c7:86:59:b4:00:da:ff:
     72:b4:9a:98:60:bf:f3:14:25:9f:7d:e6:7f:62:d8:04:72:8c:
     4c:47:85:5e:28:b8:31:03:12:20:76:c8:75:4d:67:94:cf:1a:
     85:ee:95:46

—–BEGIN CERTIFICATE—– MIIDjjCCAnagAwIBAgIRAL3ONURH7Sd/fpfO1LjQwJ4wDQYJKoZIhvcNAQELBQAw HTEbMBkGA1UEAwwSb3BlbmZpcmUuc29uLmxvY2FsMB4XDTIyMTEyMjA5MDM1N1oX DTI1MDIyNDA5MDM1N1owHTEbMBkGA1UEAwwSb3BlbmZpcmUuc29uLmxvY2FsMIIB IjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA7iLko5tzBeBpAboU2GuO0EH5 O//qTWErwPgJ0WcfwRnTuGKTjED/9qCPDjcQqKnBPt+1OCLrn6Q6vM8GATKzAFL4 2bKCzhAkfcpaoaWKsDwWnJVmcSny5IlJM1WoDPjM2vKmFRn40AxFOtPqH3mFVmo6 2lgHFjWqPWfhTm4/kENa6zG7spAiHMENdqTOUJZ1Rmjd9UIdQE+SaBQ3HGXAiuDt TUVnpldM2KGKBYjLdy+nEiAkGQ68WRWwHYPl6wRYLaPLOdnfmwDfpkyt7oNVns+h Z8o1+TypKdhgEQcaXpca51C7G95Ss3nHydIZrbBcStfpaJhz3Q1uAFHfas5nHwID AQABo4HIMIHFMAkGA1UdEwQCMAAwHQYDVR0OBBYEFEPyuFxJGO1CoNRNJKEZLt0S bPorMFgGA1UdIwRRME+AFBrsJcp06Sf3GbKRnR+tfMKQjY9soSGkHzAdMRswGQYD VQQDDBJvcGVuZmlyZS5zb24ubG9jYWyCFBBOu1astcbJ5dWWkLkDJq4DM1oyMBMG A1UdJQQMMAoGCCsGAQUFBwMBMAsGA1UdDwQEAwIFoDAdBgNVHREEFjAUghJvcGVu ZmlyZS5zb24ubG9jYWwwDQYJKoZIhvcNAQELBQADggEBADSD01pMXiQeO/CiuM79 KEaEglqdH/OPuknI11jLn1UQgzJA9zUj+GdZ7jZbebnL/qCu+2CxcMp3sj4gvmjq h9+UaULl+bzBxfnOzf7xV5LOq/2CGJq1QgNZIZ+fpXSXdbjwR4C9gft0F0Ymf3tw 94qYS13M4eYh7ZowjZAeyNvI/BRWhTWY1ggcn8yArgFnTozH7siF1Yp9YLmBTEG3 jkU+pP6hyGBOHVrfAkmKIUtEo234rhKpIg4nIoUCdqIcFknwhHxz3d9vWUEQHAI1 9vXIx4ZZtADa/3K0mphgv/MUJZ995n9i2ARyjExHhV4ouDEDEiB2yHVNZ5TPGoXu lUY= —–END CERTIFICATE—–

                  =openfire.crt=

—–BEGIN PRIVATE KEY—– MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQDuIuSjm3MF4GkB uhTYa47QQfk7/+pNYSvA+AnRZx/BGdO4YpOMQP/2oI8ONxCoqcE+37U4IuufpDq8 zwYBMrMAUvjZsoLOECR9ylqhpYqwPBaclWZxKfLkiUkzVagM+Mza8qYVGfjQDEU6 0+ofeYVWajraWAcWNao9Z+FObj+QQ1rrMbuykCIcwQ12pM5QlnVGaN31Qh1AT5Jo FDccZcCK4O1NRWemV0zYoYoFiMt3L6cSICQZDrxZFbAdg+XrBFgto8s52d+bAN+m TK3ug1Wez6FnyjX5PKkp2GARBxpelxrnULsb3lKzecfJ0hmtsFxK1+lomHPdDW4A Ud9qzmcfAgMBAAECggEBAIFT4egYnDcs0NpnPLrsbvsbWUgEjDLJ+wEps+tNnik4 5YrVvlwFUP2X5RlLPnja+GA1Di4WiPCCOIQhypkL97rNVOil0fQnQCowo1f2l4Nu nrkbSi9bINaM2HxQoJuq41ZlQV1kZYRXpaF1RUkirg9oUd4SwIaHTpVavTnjFhI5 9flUSEWVw186BEEkBkrLsgSrvzEawmGsVezrNAHzHk77LahnGoUjiJz8k8Ed0Nvf BGoA0jvCLIsjZNY1rVN5VMdDFF9Hhta7n1JANrEi8qOYvRfdZBdOKpFyOGPmo0xf /XvppSWm3T7FezMxUg7Pwwtm0wovHZw4iRuAKVnNgsECgYEA/TQy79c0tWbOj4iE w9e53ZBqI9RQJVlYwSsUCuqDL3emvrEHemQHoe3zUWWApDXG94cluxZn/CSfwjMI AAnUBFA3iwBHAL9AskdIt/UmPvFp93S6sgr7nUxPnyQBApaAZgzvARVdMHgGf1OS F+VpyqQNO82f4Rc+ROoav5mqOr0CgYEA8MQZMjV7Af5pAFpbmZXKYAIyBp+UNX8r WuzHxpkP9vcUOqsNoPyV4kR2+frDQzVTgjF210iW7MLRTf935vby7fSc54mHFpIU mplsRqMKUUO6PoQaiOcpCcvzIj3CxpHNyeKPD7WD7rFGVE9+DlNIG/UXcva7wQL9 GPI+OXdT9QsCgYAJYXGxqQtu3QwyDSC+ELP2HW+RPEBr4c+D+JCZhu6tR4WJ8w0P 37zYpvQow9XsP4HLkdo4ADCCCulQTIuzVKniLwafw7bdtDg1YqazCgYMtuzyGgUA q59+yGD6yF6xNdoz7a69H4mATjIPbY0wDXPJ6iIDYS7XLAFGlFXBW3QPEQKBgQDb sJOtFM+hChuVjt12Tw/Sey5ajNIX3moZFWVU+eVvXBTBU8Oj2daKGB7YCtCRSt9g NPJTjpDoiPujSDCIN12Dc2iYfQ0eszzJtKTv72VCsaIH2VK9CPCRV+AKpoBL4E7+ oBQaKW6xJmEeHUrQl318xS8YX7sCa0+2q5PLq+6X8QKBgEm/oWy4WaGobrz7HDEP SXTpIpeEseoQQqCUr7qaMQwaosaCIFANnTBRCEo3NushzlZNxHS2mY8BrSGk0Rn6 eFwkIDG7qzKndcc4+AWa9KazHm/KiTn0sTFG67czGyXqSmU7B2WVPVktPzMb/l1/ +A6S6tULuxna4PQwBNgZ02Ji —–END PRIVATE KEY—–

supp0rtmail2019
() автор топика
Ответ на: комментарий от Anoxemian

СА добавлен в доверенные на клиенте и в «Trust store used for connections from other servers» на openfire server

=ca.crt= —–BEGIN CERTIFICATE—– MIIDYDCCAkigAwIBAgIUEE67Vqy1xsnl1ZaQuQMmrgMzWjIwDQYJKoZIhvcNAQEL BQAwHTEbMBkGA1UEAwwSb3BlbmZpcmUuc29uLmxvY2FsMB4XDTIyMTEyMjA5MDIx NFoXDTMyMTExOTA5MDIxNFowHTEbMBkGA1UEAwwSb3BlbmZpcmUuc29uLmxvY2Fs MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAvvnAZS1RdCNkHzMu8LxL Brtk79w6iCTqnBekL1ZgQNm43zD8D8RqR85I6/MN1V2P0fwt+GqOcng27ZTr3Jfs gCa3JZMk9/lvDNhctdKmcUlkz3NM8XBWY3Zgi7R8YRcXw0XroxQfQzGR8Wio++LG wmF0yTLmiSd9aucrm9uGQEuOiB5HdYi5aojlbIOsbaZKkUP/QD07hocqKnEJvFjC StBjq/EeaQ7tNilJUI1VsmQOQakK5+/JMIikRHybeoDMMsvrX7+cg+euKGHYCFAC kYIxmTNyVE41a/wct/YEmyPZfPXHdMIOjTzBCtwng5CfidUG/yqH4EfU1rcXCiBm pwIDAQABo4GXMIGUMB0GA1UdDgQWBBQa7CXKdOkn9xmykZ0frXzCkI2PbDBYBgNV HSMEUTBPgBQa7CXKdOkn9xmykZ0frXzCkI2PbKEhpB8wHTEbMBkGA1UEAwwSb3Bl bmZpcmUuc29uLmxvY2FsghQQTrtWrLXGyeXVlpC5AyauAzNaMjAMBgNVHRMEBTAD AQH/MAsGA1UdDwQEAwIBBjANBgkqhkiG9w0BAQsFAAOCAQEAGkWIo2HkUJu7QNay IItEkyNixQ77inpz94lvp9bSTx7scvxqOpzakcQ5XVSfk4tW9NKL4tZBb1KUe8j4 e8st9kwyWHt1utV5K5fPuMWXJ9JCqw7ERrw1Ws3T5AHP4O7QhqVPy8dG/zF/5tmU cEc5/3SaEOHM/XoI5aJmRIdcxGl9YTngZRHdTmVpkK4K0eCXIhlPZuLWlXKnMfie IwtHytz01ZDFH+vEmZn9iWUeEASPga+5JR9FFT1PtHbiDguwLi59+bW0x4xd4K3F PvZGPLF57xJhroMzXbrqAXkaIHZrfqUgvgcO5uEHx7RExFisOpy00i2ij7PZTiGB sD+Zig== —–END CERTIFICATE—– =ca.key= —–BEGIN RSA PRIVATE KEY—– MIIEpAIBAAKCAQEAvvnAZS1RdCNkHzMu8LxLBrtk79w6iCTqnBekL1ZgQNm43zD8 D8RqR85I6/MN1V2P0fwt+GqOcng27ZTr3JfsgCa3JZMk9/lvDNhctdKmcUlkz3NM 8XBWY3Zgi7R8YRcXw0XroxQfQzGR8Wio++LGwmF0yTLmiSd9aucrm9uGQEuOiB5H dYi5aojlbIOsbaZKkUP/QD07hocqKnEJvFjCStBjq/EeaQ7tNilJUI1VsmQOQakK 5+/JMIikRHybeoDMMsvrX7+cg+euKGHYCFACkYIxmTNyVE41a/wct/YEmyPZfPXH dMIOjTzBCtwng5CfidUG/yqH4EfU1rcXCiBmpwIDAQABAoIBAGjaGuXyAbywCbKP mYAXAWJK1NpUodZJ3n2hBUXwOJyibTwtWtcVUfzmp2bUZY319palzF+NsXPryMyc bPsKdpDNsNRye2OikXQN/qjdZQDh+PVlKqOMuAGX5t4NVBTCZwuRghRhYeC0gJp4 if7xvYrPkx08UxKOme9tyKWj24vEe/wTdsQ+H38ZRlOXyb6rHEqlR2Enr0Y5o/0P j3j4KBKG34aELXMA+CeP9A4u0p+3fwWINy5OphD5JjsjAUtOHWDwwOPTan8LlNX9 PTqdC8bUmcxd4ge+qImfGa9H55qp8/Z7H/prL4LTtViHPHSWbqYPhhCR+RuSGIhT kWeKrPECgYEA9UfUGjEFsoGC4ZXbIVfLOAnDWaHGRAcTUy6lPEBTRmA38b5K67wK fo+HwZGcpBkqob6jQWnwke0/zyuHLbT5K5oCbDn0lHsSSOXPHCBoH9mfcmmymJB2 N3YMLIYdWXQLYnHsKtJqxbBD4zteyV5X1CEmuR/a6JRUW7wWDKFlNxUCgYEAx1Jd bFHlMnF92CX1KKTBQOeKFLCrspmdHhjI0y/IhKX5kvkiZ/TQySVMvYgjBGUsK82/ DEftOjJfFBpbzkl36cycAbY/RL9wJ5fZXBnOXqDU3mXY8Q+jdI9q3tULqQOnR8jO dQ0m/aHwru/4nYKIElaxmsC0FWrrdhH2cnI1FcsCgYA4DacyKRvVNHW1meqPDyI4 9zo2hJrrtvY6n0FRqJ2fSqPeUg+LGdkIHUL4AI/cjIfKmOd0LoK0xpQ7gwYMcvwy c6q0EvaK7Ck8kZAoLFu/U5t1qSQQa4sol4imsCuK4tMrNz+ydY3DCcop5sp9mFrX 9o+D5PzBBAzXPf+H+WZJFQKBgQCaW7XPyghGLU/40URvak/i9KyhY0REduQPR8BW lD2kRGjnoho8CYKbE1C/wqrjn3o6ngZi+1zC4flxtwv70DeWDweN59ZNZjfz4YvJ 4I5KCCFx7cu4u5SpEtv/n1t9Uz/7vo3sZfgZGY0r3NlbGZhJI2w9XRjZMUkR0c1a SgnESwKBgQDf/o6Xw7O/Js0RKm4k7Sv01U+thLyg7tyCV5hFsqYvMcWzU2rTtkjZ LU1khaV2+/nlfRuLhLNLrMf/eSIOdADpVT1VxRD/hzXE/ZjTUSPxeexRm5d1kw+/ JzeMi5JsfeqzIjaIj8FrsIiey1c8J8rXVD5XbmNz157L/gSh6m/aKg== —–END RSA PRIVATE KEY—–

supp0rtmail2019
() автор топика
Ответ на: комментарий от Anoxemian

Это не так важно, так как в первом сообщении был указан как пример имени, а по факту openfire.son.local, но это не меняет положение вещей.

Сносной инструкции в интернете я так и не нашёл, а у вас есть опыт в настройке openfire 4.7.4 с tls/ssl сертификатами, если да то по какому пути шли вы?

supp0rtmail2019
() автор топика
Ответ на: комментарий от Anoxemian

У меня есть опыт работы с сертификатами. Абсолютно пофигу с каким софтом. По пути чтения документации.

Огромное спасибо, путь чтения документации, к сожалению меня не привёл в желаемому результату. А вот ваш опыт работы с сертификатами, абсолютно пофигу с каким софтом, решил все мои проблемы, я просто копировал ваш комментарий на сервер и теперь всё работает по протоколу TLS 10.0, так что делитесь вашим опытом дальше, он возможно спасёт человечество! [sarcasm]

supp0rtmail2019
() автор топика

Вопрос решён, проблема была в том что spark сравнивает имя в сертификате не с именем указанным на сервере и не с именем из DNS, а именем и графы сервер, первые несколько раз у меня не получилось зайти по полному доменному имени и я стал использовать, но через openfire всё работает, я и подумал что ему достаточно третьего уровня в локальной сети, но позже до меня дошло что сравнение идёт именно полного имени и именно из этой строки.

Сам проблему создал и сам её решил, отвечающим на вопрос, спасибо.

supp0rtmail2019
() автор топика
Admin