OpenSSL验证SubCA签发OpenVPN证书失败及服务启动报错求助

问题根因 #

你已经正确配置了SubCA的X509v3 Basic Constraints扩展为CA:TRUE，具备签发下级证书的能力，报错的核心原因是证书校验时缺失完整的信任链：

• 你执行失败的openssl verify命令仅传入了SubCA证书作为校验根，OpenSSL无法找到SubCA的签发者（RootCA）完成完整信任链校验，因此返回unable to get issuer certificate错误。
• 附带CRL时校验成功，是因为你用到的vpnserver.crl.chain文件已经拼接了RootCA证书、SubCA证书、CRL的完整链，OpenSSL可以完成全链路校验。
• OpenVPN报错和校验失败的原因一致：要么是客户端配置的信任CA文件仅包含SubCA，没有将RootCA作为信任锚；要么是服务端下发证书时仅返回了OpenVPN服务端单证书，没有附带SubCA证书，导致客户端无法追溯到信任的RootCA。

解决步骤 #

1. 先验证证书合法性 #

将RootCA和SubCA证书合并为完整信任链文件：

cat rootca.crt subca.crt > ca-fullchain.crt

用完整链校验OpenVPN服务端证书，正常应返回OK：

openssl verify -CAfile ca-fullchain.crt vpnserver/vpnserver.crt

2. 修正OpenVPN配置 #

客户端配置

将配置文件中ca参数指向RootCA证书，或者上述生成的ca-fullchain.crt即可，RootCA作为信任锚可自动完成全链路证书校验。

服务端配置

将SubCA证书追加到OpenVPN服务端证书末尾，确保服务端会把服务端证书+SubCA证书一起下发给客户端：

cat vpnserver.crt subca.crt > vpnserver-fullchain.crt

将服务端配置中cert参数修改为指向新生成的vpnserver-fullchain.crt。

3. 可选：CRL校验配置 #

如果需要启用CRL校验，保持原有CRL配置即可，注意定期更新CRL避免过期导致校验失败。

内容的提问来源于stack exchange，提问作者leminhquan