多主机部署Hyperledger Fabric遇TLS握手失败（EOF错误）求助

网络连通性验证 #

• 测试跨节点端口可达性：在第二台机器的peer容器内执行nc -zv <orderer容器IP/主机名> 7050，确认TCP端口能正常连通。GCP防火墙需双向放行以下端口：
  • Docker Swarm集群端口：2377/tcp（集群管理）、7946/tcp/udp（节点通信）、4789/udp（Overlay网络数据）
  • Fabric服务端口：7050（orderer）、7051（peer）
• 检查Overlay网络DNS解析：在容器内执行nslookup <orderer服务名/主机名>，确认能正确解析到目标容器IP，排除Swarm服务发现异常。

TLS证书与配置校验 #

• 验证证书SAN字段：提取peer/orderer的TLS证书，执行openssl x509 -in <cert-file> -text -noout | grep -A 10 "Subject Alternative Name"，确认证书包含容器主机名、Overlay网络IP、节点公网IP（如果用公网访问）。Fabric TLS握手会严格校验访问地址是否在SAN列表中，未匹配时可能出现EOF或超时（而非直接证书错误）。
• 检查证书路径与完整性：确认容器内CORE_PEER_TLS_ROOTCERT_FILE、ORDERER_TLS_ROOTCERT_FILE指向的证书文件存在且完整，跨节点部署时需保证证书同步一致。

Docker Swarm服务配置检查 #

• 确认服务部署模式：如果orderer是独立容器而非Swarm服务，跨节点访问需使用节点公网IP+端口，而非容器名；若为Swarm服务，需保证服务的--endpoint-mode设置为vip或dnsrr，确保跨节点能正常访问。
• 检查节点状态：在Swarm管理节点执行docker node ls，确认两台节点均处于Ready状态，无失联或异常情况。

日志与调试 #

• 开启Fabric调试日志：设置环境变量CORE_LOGGING_LEVEL=debug（peer）、ORDERER_LOGGING_LEVEL=debug（orderer），重启容器后查看详细日志，定位TLS握手的具体失败环节。
• 查看网络流量日志：在GCP控制台查看VPC流量日志，确认是否有数据包被防火墙或路由规则丢弃；同时检查Docker容器的网络日志，排查连接建立后的异常中断原因。

内容的提问来源于stack exchange，提问作者dodo920306