Hyperledger Fabric 2.5.3创建通道时TLS握手失败问题求助

核心问题定位 #

tls: first record does not look like a TLS handshake 错误本质是客户端与Orderer的TLS配置不匹配，大概率是客户端用TLS协议连接了非TLS端口，或是证书/配置参数存在问题，按以下步骤逐一排查：

1. 核对Orderer端口与TLS监听状态 #

• 查看docker-compose.yaml中Orderer的端口映射，确认7050（默认TLS端口）和7051（非TLS端口）是否搞混，比如是否将TLS端口映射成了非TLS端口。
• 查看Orderer容器启动日志，确认监听端口类型：

  docker logs orderer.example.com | grep "Listening on"
  

  正常TLS启动应输出类似 Listening on 0.0.0.0:7050，如果显示7051则说明Orderer未启用TLS，与客户端配置冲突。

2. 检查CLI容器的TLS环境变量与命令参数 #

• 进入cli1容器，核对关键环境变量：

  docker exec -it cli1 env | grep -E "(CORE_PEER_TLS|ORDERER_CA)"
  

  需确保CORE_PEER_TLS_ENABLED=true，且ORDERER_CA指向正确的Orderer TLS根证书路径。
• 确认peer channel create命令是否携带正确的TLS参数：
  必须包含--tls true --cafile $ORDERER_CA，如果遗漏或参数错误，会导致TLS握手失败。

3. 验证证书生成与挂载正确性 #

• 检查crypto-config.yaml中是否开启TLS（默认开启），生成的证书路径与docker-compose.yaml中cli1的挂载路径是否一致。
• 在cli1容器中确认证书文件存在：

  docker exec -it cli1 ls /opt/gopath/src/github.com/hyperledger/fabric/peer/crypto/ordererOrganizations/example.com/orderers/orderer.example.com/msp/tlscacerts/
  

  需确保有对应的根证书文件（如tlsca.example.com-cert.pem）。

4. 核对configtx.yaml的Orderer TLS配置 #

• 确认configtx.yaml中Orderer部分的EnableTLS设置为true：

  Orderer: &OrdererDefaults
    EnableTLS: true
    TLS:
      PrivateKey: crypto/ordererOrganizations/example.com/orderers/orderer.example.com/tls/server.key
      Certificate: crypto/ordererOrganizations/example.com/orderers/orderer.example.com/tls/server.crt
      RootCAs:
        - crypto/ordererOrganizations/example.com/orderers/orderer.example.com/tls/ca.crt
  

  如果此处EnableTLS为false，但客户端用TLS连接，会直接触发握手错误。

5. 测试容器网络与TLS连通性 #

• 在cli1容器中测试Orderer网络可达性：

  docker exec -it cli1 ping orderer.example.com
  

• 用openssl测试TLS握手有效性：

  docker exec -it cli1 openssl s_client -connect orderer.example.com:7050
  

  若返回正常的TLS证书信息则端口与证书没问题；若提示unknown protocol，说明连接的是非TLS端口。

6. 检查操作脚本的命令参数 #

• 确认peer channel create命令的-o参数指定的Orderer地址端口正确，比如-o orderer.example.com:7050（TLS端口），而非7051。
• 脚本中是否正确设置了所有TLS相关变量，比如CORE_PEER_TLS_ROOTCERT_FILE、ORDERER_CA等，避免变量为空或路径错误。

内容的提问来源于stack exchange，提问作者golder21