内部CA签发HTTPS应用在VDI上不受信任，求排查方向

问题背景 #

• 应用使用内部认证机构（根CA+中间CA）签发的HTTPS证书，办公笔记本上可正常信任，但公司VDI的Edge浏览器打开时提示「应用不受信任」
• 排查发现该VDI的Edge「管理证书-中级证书颁发机构」中缺少中间CA证书，但同属该内部CA签发的另一款应用在该VDI上可正常使用
• 手动导入中间CA证书可解决问题，但需全公司范围变更，需明确问题根源是VDI本地证书缺失还是自身HTTPS配置错误

我的HTTPS配置步骤 #

1. 打开管理员命令提示符
2. 执行OpenSSL转换命令：

   openssl.exe x509 -outform DER -in Root.cer -out Root.pem
   openssl.exe x509 -outform DER -in Intermediate.cer -out Intermediate.pem
   openssl.exe x509 -outform DER -in application-server.crt -out application-server.pem
   

3. 合并PEM文件为证书链：

   type application-server.pem Intermediate.pem Root.pem > chain.pem
   

4. 导出为PKCS12格式：

   openssl.exe pkcs12 -export -in chain.pem -inkey application-server.key -name tcsitpdmemea > tcsitpdmemea.p12
   

5. 转换为JKS密钥库：

   keytool -importkeystore -srckeystore tcsitpdmemea.p12 -destkeystore tcsitpdmemea.jks -srcstoretype pkcs12 -alias tcsitpdmemea
   

Apache Tomcat 配置 #

<Connector
           protocol="org.apache.coyote.http11.Http11NioProtocol"
           port="443" maxThreads="200"
           maxParameterCount="1000"
           scheme="https" secure="true" SSLEnabled="true"
           keystoreFile="D:\tcsitpdmemea.jks" keystorePass="tcsitpdmemea"
           clientAuth="false" sslProtocol="TLS"/>

问题根源分析与排查方向 #

一、配置层面的核心错误 #

1. 证书格式转换错误：
   你使用-outform DER生成的是二进制DER格式文件，却命名为.pem（PEM是Base64编码的文本格式），这会导致合并的chain.pem是无效的混合格式，Tomcat无法正确解析完整证书链。

   • 正确转换命令（如果原证书是DER格式）：

     # DER转PEM（指定输入格式为DER，输出默认PEM）
     openssl.exe x509 -inform DER -in Root.cer -out Root.pem
     openssl.exe x509 -inform DER -in Intermediate.cer -out Intermediate.pem
     openssl.exe x509 -inform DER -in application-server.crt -out application-server.pem
     

   • 后果：Tomcat握手时只会发送服务器证书，不发送中间CA证书，VDI的Edge因缺少中间CA无法完成信任链验证。

2. Tomcat SSL配置遗漏：

   • 新版本Tomcat中sslProtocol="TLS"已被弃用，建议改用sslEnabledProtocols="TLSv1.2,TLSv1.3"，避免协议兼容问题导致证书验证异常。
   • 需确认JKS密钥库中是否完整包含服务器证书、中间CA、根CA：执行keytool -list -v -keystore tcsitpdmemea.jks，查看是否有三个证书条目，且服务器证书的Certificate chain字段包含完整链条。

二、另一应用正常的原因 #

• 另一应用可能正确配置了证书链，Tomcat握手时会主动发送中间CA证书，VDI的Edge即使本地未导入，也能通过服务器发送的链条完成信任验证。
• 或另一应用的证书直接由根CA签发，无需中间CA参与验证。

三、快速验证方法 #

1. 检查服务器发送的证书链：在任意可访问应用的机器上执行：

   openssl s_client -connect 你的应用域名:443 -showcerts
   

   如果返回结果中只有服务器证书，没有中间CA，说明是配置问题；如果包含中间CA，则问题是VDI本地缺少证书。
2. 确认JKS证书链完整性：执行：

   keytool -printcert -v -keystore tcsitpdmemea.jks -alias tcsitpdmemea
   

   查看Certificate chain字段是否包含服务器证书→中间CA→根CA的完整层级。

内容的提问来源于stack exchange，提问作者Pavan Dittakavi