CouchDB Docker容器（V2.1.1）SSL连接异常求助

我来帮你一步步排查这个SSL配置的坑，结合你用的CouchDB 2.1.1 Docker容器、内置OpenSSL 1.0.1t的情况，咱们从最基础的环节开始核对：

1. 先确认自签名证书的生成与权限是否正确 #

官方文档的自签名证书生成命令要严格执行，别漏了关键参数：

openssl req -x509 -newkey rsa:4096 -sha256 -nodes -keyout couchdb.key -out couchdb.crt -subj "/CN=localhost" -days 3650

生成后还要注意两个关键点：

• 文件权限：CouchDB容器内的运行用户是couchdb，必须让它能读取证书和密钥。进入容器执行：

  chown couchdb:couchdb /容器内证书路径/couchdb.key /容器内证书路径/couchdb.crt
  chmod 600 /容器内证书路径/couchdb.key /容器内证书路径/couchdb.crt
  

• 格式验证：打开证书文件，开头必须是-----BEGIN CERTIFICATE-----，密钥文件开头是-----BEGIN PRIVATE KEY-----，确保没有格式损坏。

2. 核对CouchDB的SSL配置（local.ini） #

找到容器内的local.ini配置文件，重点检查以下部分：

[daemons] 段 #

确保开启了HTTPS服务：

httpsd = {couch_httpd, start_link, [https]}

[ssl] 段 #

配置要和你的证书路径、OpenSSL版本匹配：

cert_file = /容器内证书路径/couchdb.crt
key_file = /容器内证书路径/couchdb.key
port = 6984
ssl_version = tlsv1.2
# 用OpenSSL 1.0.1t支持的密码套件，避免兼容性问题
ssl_cipher_list = ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-GCM-SHA256

⚠️ 注意：配置里的路径是容器内部的绝对路径，如果是通过宿主机挂载卷传递的证书，要确认挂载路径和配置一致。

3. 检查容器端口映射与网络 #

• 启动容器时必须映射6984端口，比如：

  docker run -p 5984:5984 -p 6984:6984 你的CouchDB镜像名
  

• 先在容器内部测试SSL连接，排除宿主机网络问题：
  进入容器执行curl -k https://localhost:6984，如果容器内也报错，说明问题在容器配置；如果容器内正常，那是宿主机的防火墙/端口转发问题。

4. 从服务器日志定位具体错误 #

CouchDB的日志一般在容器内的/opt/couchdb/logs目录，重点看以下错误提示：

• error loading SSL key：密钥文件权限或路径错误，回到步骤1修正；
• no available cipher suite：密码套件配置不兼容OpenSSL 1.0.1t，换步骤2里的推荐套件；
• address already in use：6984端口被容器内其他进程占用，执行netstat -tulpn | grep 6984排查占用进程。

5. 调整curl参数测试兼容性 #

你用的是LibreSSL，和OpenSSL 1.0.1t可能存在套件兼容性问题，尝试指定TLS 1.2版本测试：

curl -k --tlsv1.2 https://localhost:6984

内容的提问来源于stack exchange，提问作者user1757006