【发布时间】：2013-10-24 10:31:22
【问题描述】：
当我尝试通过 2 路 SSL (HTTPS) 连接到 f5 BigIP 服务器时，我的 iOS 客户端遇到了一个奇怪的错误 - 只有在服务器不需要时，客户端才能通过其证书验证服务器SSL 协商期间的客户端证书。签署服务器和我的客户端证书的根 CA 的证书已经在我的受信任锚证书列表中。
以下是我尝试过的每个测试的步骤，以及它们的 SSL 协商结果：
- 服务器不需要客户端证书，客户端验证服务器证书（1-way ssl：客户端 -> 服务器）
- 客户端验证服务器证书（通过）
- 客户端将其证书提供给服务器（未选中 - 服务器不需要）
- 连接已建立，服务器允许客户端访问
- 服务器需要客户端证书，客户端验证服务器证书（2 路 SSL：客户端 服务器）
- 客户端验证服务器证书（失败！！）
- 没有其他事情发生
- 服务器需要客户端证书，客户端接受任何受信任的服务器（单向 SSL：客户端
- 客户端不验证服务器证书（
setAllowsAnyHTTPSCertificate:YES- 仅用于测试目的） - 客户端将其证书提供给服务器（通过）
- 连接已建立，服务器允许客户端访问
在情况 1 和 2 之间，只有服务器被更改为需要客户端证书（从而启用 2-way SSL），而客户端在这两种情况下都会验证服务器证书。在情况 2 和 3 之间，客户端更改为接受所有服务器证书，而服务器在这两种情况下都需要客户端证书。
看来我只能在任一方向上实现 1-way SSL，但不能实现 2-way SSL。这很奇怪，因为客户端验证服务器的初始步骤应该发生在服务器请求客户端证书之前，因此每次都会产生相同的结果。我从测试用例 2 得到的错误如下：
此服务器的证书无效。您可能正在连接到 一个伪装成“server.myexample.com”的服务器，它可以 将您的机密信息置于危险之中。发生错误时 获取https://server.myexample.com/service：错误 Domain=NSURLErrorDomain Code=-1202 "此服务器的证书是 无效的。您可能正在连接到假装的服务器 “server.myexample.com” 可以放置您的机密信息 有风险。
我收到了包含相同信息但指定错误的其他消息：NSErrorFailingURLStringKey、NSErrorFailingURLKey、NSUnderlyingError 和 NSURLErrorFailingURLPeerTrustErrorKey。
我认为我不需要为 2-way 和 1-way SSL 提供不同的服务器证书，或者我需要吗？
提前致谢！
【问题讨论】：