Sự khác biệt giữa SSLCertertFile và SSLCertertChainFile?

Thông thường với một máy chủ ảo, một ssl được thiết lập với các chỉ thị sau:

Listen 443 

SSLCertificateFile /home/web/certs/domain1.public.crt
SSLCertificateKeyFile /home/web/certs/domain1.private.key
SSLCertificateChainFile /home/web/certs/domain1.intermediate.crt

Từ: Để bật SSL cho một tên miền duy nhất trên máy chủ có nhiều vhost, cấu hình này có hoạt động không?

Sự khác biệt giữa SSLCertificateFilevà là SSLCertificateChainFilegì? Khách hàng đã mua khóa CA từ GoDaddy. Có vẻ như GoDaddy chỉ cung cấp một SSLCertificateFile(tệp .crt) và SSLCertertKeyFile (tệp .key) chứ không phải tại SSLCertificateChainFile.

Ssl của tôi vẫn hoạt động mà không có SSLCertificateChainFileđường dẫn được chỉ định?

Ngoài ra, có một đường dẫn chính tắc nơi các tập tin này nên được đặt?

Nói đúng ra, bạn không bao giờ cần chuỗi để SSL hoạt động.

Những gì bạn luôn cần một là SSLCertificateFilevới một SSLCertificateKeyFilechứa khóa chính xác cho giấy chứng nhận đó.

Vấn đề là, nếu tất cả những gì bạn cung cấp cho Apache là chứng chỉ, thì tất cả những gì nó phải cung cấp để kết nối các máy khách là chứng chỉ - điều này không nói lên toàn bộ câu chuyện về chứng chỉ SSL đó. Nó nói, "Tôi đã được ký bởi ai đó, nhưng tôi sẽ không nói với bạn về họ".

Điều này thường hoạt động tốt, vì hầu hết các hệ thống máy khách đều có một kho chứng chỉ CA lớn (cả gốc và trung gian) mà nó có thể kiểm tra thông qua mối quan hệ ký kết phù hợp để thiết lập lòng tin. Tuy nhiên, đôi khi điều này không hoạt động; Thông thường, vấn đề bạn sẽ gặp phải là một khách hàng không có chứng chỉ cho một CA trung gian đã ký chứng chỉ của bạn.

Đó là nơi chuỗi đến; nó cho phép Apache hiển thị cho khách hàng chính xác mối quan hệ tin cậy trông như thế nào, điều này có thể giúp khách hàng điền vào chỗ trống giữa chứng chỉ của bạn, gốc mà họ tin tưởng và trung gian mà họ không biết. Chuỗi có thể được bao gồm trong cấu hình của bạn theo một trong hai cách:

• Được nhúng trong cùng một tệp như bạn đã đặt cho bạn SSLCertificateFile, trên các dòng mới sau chứng chỉ máy chủ theo thứ tự (gốc phải ở dưới cùng). Nếu bạn thiết lập nó như thế này, bạn sẽ muốn SSLCertificateChainFiletrỏ đến cùng một tệp chính xác như SSLCertificateFile.
• Trong một tệp riêng được cấu hình trong SSLCertificateChainFilechỉ thị; chứng chỉ CA đã cấp chứng chỉ của máy chủ phải là đầu tiên trong tệp, theo sau là bất kỳ cái nào khác ở gốc.

Kiểm tra tệp chứng chỉ mà bạn có bây giờ - Tôi cá là nó không có dữ liệu chuỗi. Mà thường hoạt động tốt, nhưng cuối cùng sẽ gây ra vấn đề với một số trình duyệt hoặc khác.

Dưới đây là một lời giải thích khá tốt về sự khác biệt cũng như các tác động có thể quan sát được giữa việc chọn cái này với cái khác:

https://stackoverflow.com/questions/1899983/difference-b between-sslcacert vefile-and-sslcertificatechainfile

Trên thực tế, GoDaddy cung cấp cho bạn một chuỗi trung gian:

http://support.godaddy.com/help/5238

Đây là một số thảo luận thêm.

http://support.godaddy.com/help/868/what-is-an-interantly-cert ve

Email từ GoDaddy cho bạn biết cách tải xuống chứng chỉ mới cũng sẽ có thông tin về tệp chứng chỉ trung gian. Nó ở đâu đó về phía dưới, có lẽ sau khi đôi mắt của bạn sáng lên từ verbiage và upell.

Về những gì sẽ xảy ra nếu bạn không bao gồm chỉ thị SSLCertertChainFile thích hợp: bạn sẽ thấy một cảnh báo lớn màu đỏ trong trình duyệt của mình vì trang web SSL của bạn sẽ không xác thực trong trình duyệt, vì chúng không thể tuân theo chuỗi chứng chỉ từ trang web của bạn xác nhận cho một người sở hữu bởi một cơ quan chứng nhận mà trình duyệt biết về.

Tôi muốn thêm vào các câu trả lời hay trước đây về SSLCertertChainFile rằng thứ tự của các chứng chỉ trong tệp đó cũng quan trọng. Các máy khách dựa trên OpenSSL sẽ tự sắp xếp thứ tự nhưng các máy khách dựa trên gnutls sẽ thất bại trên một chuỗi với thứ tự không chính xác.

Kiểm tra thứ tự với gnutls-cli, như

gnutls-cli --x509cafile /etc/ssl/certs/ca-certificates.crt -p https wwwsec.cs.uu.nl

trong đó /etc/ssl/certs/ca-certert.crt là vị trí phân phối của bạn đặt các chứng chỉ kết hợp.