mod_ssl SSLCACertertPath Sử dụng đúng cách hoặc cách tốt nhất để xử lý nhiều CA chứng chỉ ứng dụng khách được chấp nhận

Tôi đang cố gắng sử dụng chỉ thị mod_proxy SSLCACertertPath, nhưng tôi hơi bối rối về cách sử dụng nó đúng cách.

Dưới đây là hai liên kết để giải thích các chỉ thị SSLCACertificatePath:
http://httpd.apache.org/docs/2.0/mod/mod_ssl.html#sslcacertificatepath
http://www.modssl.org/docs/2.8/ssl_reference.html#ToC13

Tôi không tích cực về cách tạo các liên kết tượng trưng băm. Liên kết thứ hai tuyên bố sử dụng tệp tạo apache, nhưng tôi không biết chính xác những gì được nói ở đó.

Bất kỳ hướng dẫn thân thiện sẽ được đánh giá rất cao.

Cảm ơn bạn đã dành thời gian.

CẬP NHẬT

Mục tiêu của câu hỏi của tôi là tìm ra cách xử lý nhiều CA để xác nhận Chứng chỉ ứng dụng khách của người dùng cuối. Tôi đã không nhận ra rằng nhiều chứng chỉ pem có thể được sử dụng trong một tệp, trong trường hợp của tôi rõ ràng là cách đúng đắn để tiến về phía trước.

Nếu bạn không rõ ràng về cách tạo các liên kết tượng trưng có tên băm, thì gợi ý của tôi không phải là sử dụng CACertificatePath, mà là sử dụng CACertificateFilethay thế. (Trên thực tế đây là đề xuất của tôi nói chung: duy trì đúng cách CACertificateFile có thể sẽ làm việc nhiều hơn một chút nếu bạn có nhiều chứng chỉ CA thay đổi thường xuyên, nhưng có lẽ bạn không nên có nhiều Chứng chỉ CA và dù sao họ cũng không nên thay đổi nhiều .. .) Ngoài ra, có vẻ như tham chiếu Makefile đã biến mất khỏi tarball phân phối của Apache (và sự thiếu công khai nói chung có thể cho biết có bao nhiêu người đang sử dụng phương thức lưu trữ chứng chỉ "đường dẫn" :).

Tất cả những gì đã nói, nếu bạn vẫn muốn làm điều này, bạn có thể tiếp tục theo những gì DerfK đã nói (lấy Makefile cũ hoặc viết script / makefile của riêng bạn chạy openssl x509 -noout -hashvới tất cả các tệp chứng chỉ của bạn và tạo các liên kết tượng trưng có tên thích hợp).

Tôi tìm thấy một lỗi mở liên quan đến điều này. Khác với việc tải xuống bản phát hành modssl.org cũ được đề cập trong lỗi và lấy Makefile từ nó, có vẻ như bạn có thể nhận được giá trị của hàm băm từ openssl x509 -in foo.crt -noout -hashđó mặc dù không rõ phần ".N" đề cập đến điều gì (có lẽ đây là để làm gì va chạm băm (ví dụ: chứng chỉ đầu tiên với hàm băm 12345678 có liên kết tượng trưng 12345678.1 chỉ đến nó, chứng chỉ thứ hai có cùng hàm băm sử dụng .2? Hoặc có thể bắt đầu bằng .0?)

Nếu bạn nhận được Makefile.crttệp từ modssl cũ, tôi tin rằng những gì bạn sẽ làm là thả nó vào thư mục với tất cả các chứng chỉ của bạn, sau đó chạy make -f Makefile.crttrong thư mục đó.