如何区分客户端与服务端证书？jks证书SSL握手报错如何排查

你使用的证书类型验证方法是正确的。通过keytool导出PEM格式证书、再用openssl校验证书扩展密钥用法的流程是标准的证书属性校验方案，新旧JKS文件的证书用途一致且旧文件可正常运行，可直接排除证书用途不匹配的问题。

• 校验JKS文件完整性与配置匹配度
  执行命令keytool -list -keystore [新JKS文件路径] -storepass [密钥库密码]，确认输出无报错、列出的私钥别名、证书链条目与旧JKS完全一致。常见的替换错误包括新JKS未导入私钥、密钥库密码/私钥密码配置错误、证书别名与业务代码指定的别名不匹配。
• 抓取完整SSL握手日志定位异常点
  如果是Java应用，启动时添加JVM参数-Djavax.net.debug=ssl:handshake:verbose开启SSL调试日志，重点查看ServerHello报文中协商的TLS版本、加密套件是否在客户端支持的范围内，unexpected handshake message: server_hello报错大概率是协商阶段客户端不识别服务端返回的协商参数导致。
• 校验证书链完整性
  执行命令keytool -exportcert -keystore [新JKS文件路径] -alias [证书别名] -rfc -file new_cert_chain.pem导出完整证书链，再执行openssl verify -CAfile [可信根/中间证书集合文件] new_cert_chain.pem，确认证书链验证通过。如果新JKS仅导入了叶子证书未导入中间证书，会导致服务端校验证书时中断握手。
• 校验私钥与证书的匹配性
  从新JKS中分别导出私钥和证书，执行openssl rsa -in [导出的私钥文件] -noout -modulus和openssl x509 -in [导出的证书文件] -noout -modulus，对比两者输出的modulus值是否完全一致，若不一致说明新JKS中私钥与证书不配对，属于JKS生成阶段的错误。

内容的提问来源于stack exchange，提问作者AUSTIN OUYANG