OpenSearch C#客户端SSL连接报错bad_certificate求助

问题根源分析 #

从错误日志和代码来看，核心问题有两个：

1. 重复设置证书验证回调：连续调用两次ServerCertificateValidationCallback，第二次的CertificateValidations.DenyAll直接覆盖了第一次的根CA验证逻辑，导致所有证书被拒绝，必然引发连接失败。
2. 潜在的双向SSL要求：如果你的OpenSearch集群启用了双向SSL（Mutual TLS），服务器会要求客户端提供合法的客户端证书，而代码中未配置该证书时，服务器会返回bad_certificate错误。

另外，直接用X509Certificate加载PEM格式根CA证书可能存在解析问题，建议改用X509Certificate2处理。

解决方案步骤 #

1. 修复证书验证回调的重复设置

删除ServerCertificateValidationCallback(CertificateValidations.DenyAll)这一行，仅保留根CA验证逻辑，确保服务器证书能被正确信任。

2. 正确加载根CA证书

PEM格式证书需正确解析，可选择以下两种方式：

• 方式一：用X509Certificate2加载PEM文件

  // 使用@符号避免路径转义
  var rootCa = new X509Certificate2(@"F:\Developments\OpenSearch\DB\config\root-ca.pem");
  

• 方式二：导入到系统信任存储
  将root-ca.pem导入Windows的「受信任的根证书颁发机构」，客户端会自动信任该CA签发的证书，无需在代码中指定验证逻辑。

3. 处理双向SSL（若集群启用）

如果OpenSearch配置了双向SSL（查看opensearch.yml中plugins.security.ssl.http.clientauth_mode为REQUIRED或OPTIONAL），需在客户端配置客户端证书：

// 加载PFX格式的客户端证书（替换为你的证书路径和密码）
var clientCert = new X509Certificate2(@"path/to/client-cert.pfx", "your-cert-password");

var settings = new ConnectionSettings(connectionPool)
    .BasicAuthentication("admin", "admin")
    .PrettyJson()
    .ClientCertificate(clientCert) // 添加客户端证书
    .ServerCertificateValidationCallback(CertificateValidations.AuthorityIsRoot(rootCa));

修正后的完整代码示例

using OpenSearch.Client;
using OpenSearch.Net;
using System.Security.Cryptography.X509Certificates;
using System;

var nodes = new Uri[]
{
    new Uri("https://localhost:9200")
};

var connectionPool = new StaticConnectionPool(nodes);
var rootCa = new X509Certificate2(@"F:\Developments\OpenSearch\DB\config\root-ca.pem");

var settings = new ConnectionSettings(connectionPool)
    .BasicAuthentication("admin", "admin")
    .PrettyJson()
    .ServerCertificateValidationCallback(CertificateValidations.AuthorityIsRoot(rootCa));

// 若启用双向SSL，取消下方注释并配置客户端证书
// var clientCert = new X509Certificate2(@"path/to/client-cert.pfx", "your-password");
// settings.ClientCertificate(clientCert);

OpenSearchClient osClient = new OpenSearchClient(settings);

var student = new Student { Id = 100, FirstName = "Paulo", LastName = "Santos"};

var response = osClient.Index(new IndexRequest<Student>(student, "students"));

if (!response.IsValid)
{
    // 输出错误详情辅助排查
    Console.WriteLine(response.DebugInformation);
}

public class Student
{
    public int Id { get; init; }
    public string FirstName { get; init; }
    public string LastName { get; init; }
}

额外排查建议 #

• 检查OpenSearch的opensearch.yml配置，确认双向SSL是否启用。
• 用curl测试连接验证证书有效性：

  curl -u admin:admin --cacert root-ca.pem https://localhost:9200
  

  若curl能正常连接，说明证书无问题，问题出在客户端代码配置。

内容的提问来源于stack exchange，提问作者Youngwook Jun