Jetty 11配置GoDaddy证书出现SSL握手失败如何解决

根因分析 #

你当前生成的keystore仅导入了公钥证书（站点证书+中级根证书），缺少和站点证书配对的私钥，因此TLS握手阶段服务端无法提供身份认证所需的密钥凭证，触发javax.net.ssl.SSLHandshakeException: No available authentication scheme报错。
之前自签名证书可正常运行，是因为生成自签名证书时默认会在keystore中生成并存储对应的私钥条目。

可行解决步骤 #

1. 准备好三个必要文件：
   • 申请证书时生成的私钥文件（通常为.key格式，和你提交给GoDaddy的CSR文件成对生成）
   • GoDaddy签发的站点证书4331e701f4d1b69.crt
   • GoDaddy中级根证书包gd_bundle-g2-g1.crt
2. 合并生成包含私钥的PKCS12格式keystore，执行命令：

openssl pkcs12 -export -out keystore.p12 -inkey 你的私钥文件路径.key -in 4331e701f4d1b69.crt -certfile gd_bundle-g2-g1.crt -name main

执行过程中会要求设置keystore密码，请牢记该密码后续Jetty配置需要用到。
3. （可选）如果需要使用JKS格式keystore，执行转换命令：

keytool -importkeystore -srckeystore keystore.p12 -srcstoretype PKCS12 -destkeystore main.keystore -deststoretype JKS

4. 验证keystore正确性，执行命令：

keytool -list -v -keystore main.keystore

确认返回结果中存在Entry type: PrivateKeyEntry类型的条目，而非仅存在TrustedCertificateEntry类型条目。
5. 更新Jetty配置中的keystore路径、keystore密码、key密码（默认和keystore密码一致），重启服务即可。

验证方法 #

服务重启后可使用openssl命令快速验证配置有效性：

openssl s_client -connect 你的域名:8443

如果返回完整的证书链信息，说明TLS配置正常，浏览器即可正常访问。

注意：如果找不到和CSR配对的私钥，需要回到生成CSR的设备上导出私钥，或重新生成CSR提交给GoDaddy重签证书，公钥证书必须和对应私钥配对才能正常使用。

内容的提问来源于stack exchange，提问作者Esteban Cabezudo