HAProxy绑定443端口报错无法加载指定路径PEM格式SSL证书求助

1. 修复文件与父目录权限 #

你当前仅验证了证书文件本身的权限，但/etc/ssl/private目录默认权限仅允许root用户访问，即使证书文件权限为777，运行服务的非root进程也无法穿透父目录读取文件。
首先执行命令查看父目录权限：
ls -ld /etc/ssl/private
推荐修复方案如下（严禁保持证书文件777权限，会直接泄露私钥）：

• 新建服务专属的证书存储目录，比如Nginx可使用/etc/nginx/ssl/，Apache可使用/etc/httpd/ssl/，将证书文件移动到对应目录
• 修改证书文件权限与所属组，假设服务运行用户为www-data：

  chown root:www-data /path/to/https-cert.pem
  chmod 600 /path/to/https-cert.pem
  

2. 验证PEM文件合法性 #

执行openssl命令验证证书、私钥有效性以及两者的匹配性：

• 验证证书格式：openssl x509 -in /etc/ssl/private/https-cert.pem -text -noout，报错则说明证书内容存在截断、多余不可见字符等问题
• 验证私钥格式：openssl rsa -in /etc/ssl/private/https-cert.pem -check -noout，如果提示需要输入密码，说明私钥为加密状态，要么导出无加密版本的私钥，要么在服务配置中添加私钥密码配置项
• 验证证书与私钥匹配：比对两者公钥哈希，输出必须完全一致：

  openssl x509 -noout -pubkey -in /etc/ssl/private/https-cert.pem | openssl md5
  openssl rsa -noout -pubkey -in /etc/ssl/private/https-cert.pem | openssl md5
  

3. 检查服务运行限制 #

• 确认服务配置文件中填写的证书路径无拼写错误、多余空格，未使用相对路径
• 如果服务开启了chroot jail，证书路径需要对应chroot后的目录结构
• 若系统开启SELinux，执行ls -Z /etc/ssl/private/https-cert.pem查看安全上下文，和同目录正常证书上下文不一致时，执行restorecon -v /etc/ssl/private/https-cert.pem修复。

内容的提问来源于stack exchange，提问作者Jesaya Fernando Napitupulu