Openssl TLS 扩展支持配置（服务器名称指示）答案

【问题标题】：Openssl TLS extension support configuration (Server Name Indication)Openssl TLS 扩展支持配置（服务器名称指示）
【发布时间】：2011-09-21 08:53:16
【问题描述】：

我想配置 openssl 客户端-服务器以支持 TLS 扩展，特别是服务器名称指示 (SNI)。

我在 ubuntu linux 上构建了最新的 openssl 1.0.0e，没有提供任何额外的配置参数。

./config 制作进行安装

不确定在构建此版本时是否需要提供任何其他配置参数。

现在我已经使用openssl提供的标准命令行工具，即s_client和s_server设置了服务器并通过openssl客户端连接到它。

我的问题是：如何在 s_client 中指定要作为扩展名发送的主机名？ openssl 是否可以在命令行中使用某些参数指定服务器名称？

谢谢！

【问题讨论】：

【解决方案1】：

这已经有一段时间了。由于我很久以前就想到了这一点，因此写下答案并对此进行关闭是合乎逻辑的。

命令行选项servername 可用于指定SNI。

openssl s_client -connect myweb.address.com:443 -servername myweb.address.com

上述命令将触发具有给定服务器名称的 TLS 客户端，该服务器名称存在于客户端 hello 的 SNI 扩展中。

【讨论】：

您知道哪个版本的 OpenSSL 添加了-servername 参数吗？它在 OpenSSL 1.0.0h 中似乎不存在。
我正在使用这个版本OpenSSL 0.9.8o 01 Jun 2010
我错了——OpenSSL 1.0.0h 确实支持-servername，如果您查看openssl s_client -h 的输出就可以看出。它只是没有记录在 s_Client 手册页中。
在 OpenSSL Change Log 中搜索 SSL_set_tlsext_host_name。它显示在“0.9.8n 和 1.0.0（2010 年 3 月 29 日）之间的变化”下。

【解决方案2】：

要使用 s_server，您可以使用以下命令：

openssl s_server -accept 443 -cert normal_cert.pem -key normal_key.ky -servername xyz.com -cert2 sni_cert.pem -key2 sni_key.ky

这里，每当客户端请求没有服务器扩展名的服务器时，服务器将使用 normal_cert 进行回复，如果有服务器扩展名是客户端 hello，则服务器将使用 sni_cert 进行回复。

要在 SNI 中使用 s_client，您可以使用以下命令：

openssl s_client -servername xyz.com -connect ip:port

【讨论】：

【解决方案3】：