新版P4V中Perforce SSL域名连接失败、IP可连的问题咨询

最新版Perforce客户端完全支持域名+SSL的连接方式，你遇到的是2021.2版本P4API的默认安全规则变更导致的兼容性故障，属于非常普遍的升级后问题，不是功能被移除。

• 2021.1及更早版本的P4V/P4API发起SSL连接时不会携带SNI（服务器名称指示）字段，TLS握手阶段不会强制校验证书和访问域名的匹配关系，只要证书本身有效、指纹被信任就能建立连接，这也是你之前用仅配置CN字段的证书也能通过域名正常访问的原因。
• 2021.2版本起P4API跟进了通用TLS安全规范，默认开启SNI校验：
  • 通过域名访问时，客户端会在握手阶段主动携带目标域名的SNI信息，要求服务端返回匹配该域名的有效证书
  • 证书校验逻辑不再认可仅配置CN字段的域名匹配，必须在SAN（主题备用名称）字段中填写对应域名才算有效匹配
  • 如果服务端返回的证书不满足匹配要求，会直接中断TLS握手，抛出你看到的「远程主机强制关闭了现有连接」报错
• 你换成IP直连能正常访问，是因为IP访问时不会触发SNI域名匹配逻辑，只要证书本身有效就能完成握手，这也和你观察到的「升级2021.2版P4API的第三方应用同样域名连接失败」的现象完全吻合。
• 你之前重新生成证书只修改CN字段没有效果，正是因为新版校验逻辑不单独读取CN字段做域名匹配。

1. 重新签发Perforce服务端使用的SSL证书，必须在证书的SAN字段中添加你使用的访问域名perforce.mydomain.xyz，如果需要同时保留IP直连能力，可以把服务器公网IP也一并加入SAN列表，不需要额外调整CN字段配置。
2. 清空所有客户端本地存储的旧Perforce SSL信任缓存：
   • Windows客户端删除路径下的文件：%USERPROFILE%\.p4trust
   • Linux/macOS客户端删除路径下的文件：~/.p4trust
3. 替换服务端证书后重启p4d服务，重新通过域名发起连接，在弹出的证书指纹信任确认框中选择永久信任即可正常连接。

注意：不要按照报错提示直接删除P4PORT中的ssl前缀走明文连接，会导致账号凭据、传输的代码数据全明文传输，存在严重安全风险。

该问题是2021.2版本发布后自建Perforce服务的高发升级故障，大量按照旧教程生成自签证书的用户都遇到过完全一致的报错，不属于个例。

内容的提问来源于stack exchange，提问作者vito0719