Icecast2无法识别SSL证书问题求助

一、修正Icecast.xml配置错误 #

你的配置存在几个关键问题，直接导致证书验证失败：

1. 重复标签
   Icecast仅允许一个全局<hostname>，当前配置中同时存在localhost和打码域名，会导致证书与域名不匹配。删除localhost对应的<hostname>和<listen-socket>块，保留实际域名的配置：

<icecast>
    <limits>
        <sources>5</sources>
    </limits>
    <authentication>
        <source-password>........</source-password>
        <relay-password>........</relay-password>
        <admin-user>admin</admin-user>
        <admin-password>........</admin-password>
    </authentication>

    <!-- 仅保留实际流媒体域名 -->
    <hostname>stream.yourdomain.com</hostname>
    
    <!-- 80端口为明文HTTP，关闭SSL -->
    <listen-socket>
        <port>80</port>
        <shoutcast-mount>/live.mp3</shoutcast-mount>
        <ssl>0</ssl>
    </listen-socket>
 
    <!-- 8443端口为HTTPS，开启SSL -->
    <listen-socket>
        <port>8443</port>
        <shoutcast-mount>/live.mp3</shoutcast-mount>
        <ssl>1</ssl>
    </listen-socket>

    <fileserve>1</fileserve>
    <paths>
        <logdir>./logs</logdir>
        <webroot>./web</webroot>
        <adminroot>./admin</adminroot>
        <alias source="/" dest="/status.xsl"/>
        <ssl-certificate>/usr/share/icecast2/icecast.pem</ssl-certificate>
    </paths>
    <logging>
        <accesslog>access.log</accesslog>
        <errorlog>error.log</errorlog>
        <loglevel>3</loglevel> <!-- 4 Debug, 3 Info, 2 Warn, 1 Error -->
    </logging>
</icecast>

2. SSL端口与明文端口混淆
   80端口是默认HTTP明文端口，开启<ssl>1</ssl>会导致协议冲突，必须关闭；HTTPS使用8443或标准443端口即可。

二、确保Icecast.pem证书链完整 #

Let's Encrypt证书需要包含完整证书链（服务器证书+中间证书）+私钥，仅合并证书和私钥会导致浏览器不信任：

1. 找到Let's Encrypt生成的证书文件（默认路径/etc/letsencrypt/live/stream.yourdomain.com/）：
   • fullchain.pem：包含服务器证书和Let's Encrypt中间证书
   • privkey.pem：域名对应的私钥
2. 合并生成正确的icecast.pem：

cat /etc/letsencrypt/live/stream.yourdomain.com/fullchain.pem /etc/letsencrypt/live/stream.yourdomain.com/privkey.pem > /usr/share/icecast2/icecast.pem

三、设置正确的文件权限 #

Icecast进程需要读取证书文件，同时私钥不能暴露给其他用户：

# 修改文件属主为Icecast运行用户（通常是icecast）
chown icecast:icecast /usr/share/icecast2/icecast.pem
# 设置权限为仅所有者可读可写
chmod 600 /usr/share/icecast2/icecast.pem

四、重启服务并验证 #

1. 重启Icecast服务：

systemctl restart icecast2

2. 验证证书有效性：
   • 使用浏览器访问https://stream.yourdomain.com:8443/live.mp3，查看地址栏是否显示安全锁
   • 用OpenSSL命令检查证书链：

openssl s_client -connect stream.yourdomain.com:8443

输出中若出现Verify return code: 0 (ok)则表示证书验证通过。

内容的提问来源于stack exchange，提问作者Megpryor