s_client 如何呈现客户端证书链

Question

我正在尝试使用 openssl s_client 测试我的证书和服务器证书是否正常工作。

openssl s_client -cert mycert -key mykey -CAfile CA.cert -connect host:name

但是这个工具只允许你出示我的证书，而不是整个链条。如果服务器只信任根 CA，而不信任所有中间 CA，则此命令将失败。

有没有人知道如何解决这个问题，即如何将整个客户端证书链呈现给服务器

另外，是否有任何命令可以测试与 java keystore 和 truststore 的 ssl 连接？

Answer 1

如果您使用 PEM 文件，-CAfile 实际上可以包含多个证书。只需复制并粘贴根证书以及该文件中的任何中间证书，s_client 就会正确显示整个链，而不仅仅是最终实体证书。

我不知道用 Java 测试 SSL 连接的命令行工具，但使用 Http(s)URLConnection 和自定义 SSLSocketFactory 编写自己的工具应该不难。

Answer 2

您可以使用来自here 的 SSH Secure Shell 作为命令行工具来测试与 Java 的 SSL 连接。