Получение сертификата SSL/TLS сервера с помощью " клиента openssl s"

Я пытаюсь получить сертификат SSL / TLS для одного из наших нагрузки балансировщики (Netscaler) использование:

 openssl s_client -showcerts -connect lb.example.com:443

если его современная конфигурация (некоторые стороны отказываясь от того, что это значит), используйте:

openssl s_client -connect lb.example.com:443 -tls1 -servername lb.example.com | \
openssl x509 -text -noout

CONNECTED(00000003)
write to 0x7fec7af0abf0 [0x7fec7b803a00] (130 bytes => 130 (0x82))
0000 - 80 80 01 03 01 00 57 00-00 00 20 00 00 39 00 00
...

похоже, что в байтах 0 и 1 есть дополнительная преамбула. В байте 2 должен быть тип записи. В байте 3 и 4 должен быть номер версии. Байты 5 и 6 должны быть 16-разрядной длиной полезная нагрузка.

вот пример:

$ openssl s_client -connect www.googl.com:443 -tls1 -servername www.googl.com -debug
CONNECTED(00000005)
write to 0x7f7fe1c1fa30 [0x7f7fe2022000] (132 bytes => 132 (0x84))
0000 - 16 03 01 00 7f 01 00 00-7b 03 01 71 c0 12 35 98
...

сверху тип записи находится в позиции 0, а его значение 0x16. 0x16-это тип рукопожатия. Версия слоя записи-следующие два байта в позициях 2 и 3. Их значения 0x03 0x01. Длина полезной нагрузки 0x007f.

см. Также RFC 5246, протокол безопасности транспортного уровня (TLS) версии 1.2, стр. 18:

6.2.1.  Fragmentation

   The record layer fragments information blocks into TLSPlaintext
   records carrying data in chunks of 2^14 bytes or less.  Client
   message boundaries are not preserved in the record layer (i.e.,
   multiple client messages of the same ContentType MAY be coalesced
   into a single TLSPlaintext record, or a single message MAY be
   fragmented across several records).

      struct {
          uint8 major;
          uint8 minor;
      } ProtocolVersion;

      enum {
          change_cipher_spec(20), alert(21), handshake(22),
          application_data(23), (255)
      } ContentType;

      struct {
          ContentType type;
          ProtocolVersion version;
          uint16 length;
          opaque fragment[TLSPlaintext.length];
      } TLSPlaintext;

ваши проблемы может быть старый SSLv2 совместимый тип записи. Или это может быть версия уровня вниз OpenSSL, скажем, 0.9.5 или 0.9.8. Трудно сказать, и нам, вероятно, нужно больше информации.

более подробная информация будет включать в себя ОС; OpenSSL версия; если вы попытались заменить версию платформы OpenSSL с вашей собственной версии OpenSSL; если есть брандмауэр или "веб-inspect" окно или другой middleware добра работает; и то, что сервер получает.

используя -servername lb.example.com не помогает, и наш системный администратор сказал мне, что наши балансировщики нагрузки все равно не используют SNI.

это звучит необычно. Но его расширение TLS, поэтому его игнорируют, если его не использовать (и не будет генерировать фатальное предупреждение).

эмпирическое правило в 2016 году: всегда используйте TLS 1.0 или выше и всегда используйте SNI.