Golang连接Ejabberd的TLS配置问题：证书应部署在何处？

证书部署位置说明 #

• Server1（Ejabberd端）：需要部署服务器证书（含公钥的证书文件）及对应私钥文件，用于在TLS握手时向Golang客户端证明自身身份，这两个文件需配置到Ejabberd的TLS设置中。
• Server2（Golang客户端端）：需要部署签发Ejabberd服务器证书的根CA证书，用来验证Ejabberd提供的服务器证书合法性，你的代码正是在加载该根CA证书，因此必须将其复制到Server2的可访问路径下。

错误排查与解决 #

1. 读取根CA证书文件失败：path/to/root_ca.crt: no such file or directory #

• 直接原因：Server2上不存在指定路径的根CA证书文件。
• 解决步骤：
  • 将Server1上的根CA证书文件复制到Server2的某个可访问目录（如/opt/ca/root_ca.crt）。
  • 修改代码中的caCertFile值为Server2上的实际路径，示例：

    caCertFile := "/opt/ca/root_ca.crt"
    

2. 未配置RootCAs时：tls: first record does not look like a TLS handshake #

该错误由TLS握手流程异常导致，常见原因及解决方式：

• Ejabberd未正确开启TLS：检查Ejabberd配置文件（如ejabberd.yml），确保启用TLS监听，示例配置：

  listen:
    - port: 5223
      module: ejabberd_c2s
      tls: true
      certfile: "/path/to/server_cert.pem"
      keyfile: "/path/to/server_key.pem"
  

• 客户端连接端口错误：若Ejabberd使用STARTTLS（默认端口5222），需确保客户端NoTLS设为false，代码会自动触发STARTTLS；若直接使用TLS端口（如5223），需确认Host配置包含正确端口（如your_ejabberd_host:5223）。
• 服务器证书域名不匹配：确保代码中Host字段值与Ejabberd服务器证书的Common Name或Subject Alternative Name一致，否则客户端会拒绝验证，导致握手失败。
• 自签证书未被信任：若Ejabberd使用自签证书，客户端必须加载对应根CA证书（即代码中配置的RootCAs），否则无法完成证书验证，中断握手流程。

代码修正示例 #

调整后的关键代码部分：

func main() {
    // 修改为Server2上根CA证书的实际路径
    caCertFile := "/opt/ca/root_ca.crt"
    caCert, err := ioutil.ReadFile(caCertFile)
    if err != nil {
        log.Fatalf("Failed to read root CA certificate file: %v", err)
    }

    rootCAs := x509.NewCertPool()
    if ok := rootCAs.AppendCertsFromPEM(caCert); !ok {
        log.Fatalf("Failed to add root CA certificate to the pool")
    }

    // 确保Host包含正确端口（若用非默认端口），且与证书域名一致
    options := xmpp.Options{
        Host:      "ejabberd-server1.example.com:5223",
        User:      "your_username@ejabberd-server1.example.com",
        Password:  "your_password",
        Debug:     true,
        NoTLS:     false,
        TLSConfig: &tls.Config{RootCAs: rootCAs},
    }

    // 后续代码不变...
}

内容的提问来源于stack exchange，提问作者Anoop Kumar