在 Kestrel .NET Core 中加载由中间 CA 签名的 SSL 证书的正确方法

Question

我正在使用 .NET Core 2.1.1 在我的 Kestrel Linux 服务器上设置 SSL。

SSL 证书由中间 CA 签署。

PFX 包含中间和根 CA 证书。

我将 pfx 文件加载为 X509Certificate2 对象并将其用于服务器证书。

似乎是我设置的方式，中间CA不作为握手的一部分发送，只发送叶子（这很顽皮）。

return WebHost.CreateDefaultBuilder(args)
            .UseStartup<Startup>()
            .UseKestrel(options =>
            {
                options.Listen(IPAddress.Any,443, listenOptions =>
                {

                    listenOptions.UseHttps("ssl.pfx", "password123");

                });
            }
            )
        .Build();

所以我执行了这个命令，它只显示叶子而不显示中间：

openssl s_client -showcerts -connect myserver:443

我希望它包含中间的 ca 和 Leaf，就像人们期望的那样：

openssl s_client -showcerts -connect google.com:443

Answer 1

我最近遇到过这种情况，发现托管 Web 服务的服务器（在本例中为 debian）除了根证书外，还需要对中间证书的显式信任。没有这个，它只会发送主题证书，但是当我将中间体直接添加到信任时，它开始正常工作。