Java客户端与ucspi-ssl服务器双向SSL认证配置问题求助

要让ucspi-ssl服务器完成客户端认证并解决握手超时问题，按以下步骤调整配置：

1. 准备服务器端的客户端信任证书文件 #

• 将客户端证书（或签发客户端证书的CA根证书）转换为PEM格式（如果当前不是）：

  openssl x509 -in client.crt -out client_trust.pem -outform PEM
  

• 如果需要信任多个客户端，可将所有客户端证书合并到同一个PEM文件：

  cat client1.crt client2.crt > trusted_clients.pem
  

2. 设置ucspi-ssl环境变量 #

除已有的KEYFILE、CERTFILE、DHFILE外，新增指定客户端信任证书的环境变量：

export CACERTFILE=/path/to/trusted_clients.pem

3. 修改sslserver启动命令，开启强制客户端认证 #

sslserver默认不会要求客户端提供证书，需添加-r参数强制触发客户端证书验证，调整后的完整启动流程：

export KEYFILE=/path/to/server.key
export CERTFILE=/path/to/server.crt
export DHFILE=/path/to/dhparams.pem
export CACERTFILE=/path/to/trusted_clients.pem
sslserver -v -r -m localhost 12345 ./some_script.sh

• -r参数：强制客户端在握手时提交证书，并验证证书是否在CACERTFILE指定的信任列表中

4. 排查握手超时的额外检查点 #

• 确认服务器12345端口未被防火墙/安全组拦截，Java客户端可正常访问该端口
• 检查服务器端证书、私钥、DH参数文件的权限，建议设置为600（仅所有者可读可写），避免权限问题导致加载失败
• 验证Java客户端配置：确保客户端已正确加载PKCS12密钥库（通过javax.net.ssl.keyStore和javax.net.ssl.keyStorePassword系统属性，或SSLContext代码配置），确保握手时会主动发送客户端证书
• 启用更详细的SSL日志：将启动命令的-v改为-v -v，获取完整握手流程日志，定位具体失败环节

内容的提问来源于stack exchange，提问作者Centuri0n