- A+
背景
某个项目需要实现基础软件全部国产化,其中操作系统指定银河麒麟,数据库使用达梦V8,CPU平台的范围包括x64、龙芯、飞腾、鲲鹏等。
考虑到这些基础产品对.NETCore的支持,最终选择了3.1版本。主要原因就是龙芯搞了自研CPU架构,用户量不够大,.NET官方并没有专门针对龙芯的支持,而龙芯团队只对.netcore3.1做了适配(目前.net6适配测试中),至于其它的国产CPU则是基于Arm64和x64的,.NET官方都有支持。
环境
- 主机操作系统:Windows 10
- 虚拟化工具:QEMU
- 虚拟机CPU:cortex-a53(ARMv8架构,支持Arm64)
- 虚拟机操作系统:银河麒麟 v4 (未安装桌面)
问题
问题一:无法验证xxx的由yyy颁发的证书
这个错误是在开发环境出现的,通过wget请求https服务时抛出异常:
具体错误提示如图所示,使用HttpClient发起请求一样会报错,这是因为安装的操作系统没有自带根CA证书。安装 ca-certificates 就可以解决:
sudo apt-get install -y ca-certificates
至于错误信息中的建议:使用"--no-check-certificate"。使用https就是为了安全,直接无视就好了。
问题二:The SSL connnection could not be established
这个错误是在生产环境出现的,已经排除第一个问题。
错误的关键词还有:AuthenticationException: The remote cert is invalid according to the validation procedure. 简单点说就是:被访问服务的证书无效。
这里先贴出解决方案,一会再说原因。增加一个环境变量:
export DOTNET_SYSTEM_NET_HTTP_USESOCKETSHTTPHANDLER = 0
建议还是把它写到 /etc/profile 中,然后用 source /etc/profile 生效。
下面来分析下这个问题产生的原因:
在微软的官方文档中可以找到关于这个配置的说明:
https://docs.microsoft.com/en-us/dotnet/api/system.net.http.socketshttphandler?view=net-6.0
https://docs.microsoft.com/zh-cn/dotnet/core/runtime-config/networking
大概就是说.NET Core 2.1之后,HttpClient内部默认使用新写的SocketsHttpHandler,但是也允许切换到之前的旧Handler,在Linux上之前使用的是CurlHandler,从这个名字上看应该是使用了libcurl这个库,这个库使用C语言写的,.NET调用的时候会有一点性能损失,所以后来.NET抛弃了libcurl,自己实现了Http网络栈的处理,也就是SocketsHttpHandler。通过设置环境变量,将Http网络栈的处理回退到了CurlHandler。
那么为什么CurlHandler可以,SocketsHttpHandler却不行呢?
在dotnet的github仓库中有一些关于这个错误的issue:
https://github.com/dotnet/runtime/issues/26494
https://github.com/dotnet/runtime/issues/35880
我这里总结核心问题就是SocketsHttpHandler验证证书域名的问题,证书的域名中大小写混合、包含下划线、使用通配符等等会导致异常,有些问题可以通过修复SocketsHttpHandler解决,有些问题是因为依赖了OpenSSL,比如OpenSSL认为域名不应该包含下划线,.NET这边遇到此类的域名就会报错,.NET也不会主动去解决。另外文中还提到旧版本的OpenSSL是没问题的,新版本的OpenSSL才这样,因为开发者认为新版本的做法更规范。.NETCore依赖的OpenSSL版本可以在这里找到:https://docs.microsoft.com/zh-cn/dotnet/core/install/linux-ubuntu#dependenciesDocs
至于我遇到的是哪个问题,因为在本地环境没有遇到这个问题,生产环境是别人去维护的,上线后也不方便去搞,所以暂时无法定位到具体原因。猜想可能有两个原因:生产环境的OpenSSL相关库版本比较新,而开发环境的OpenSSL库版本比较旧;生产环境用到的证书域名不规范,测试环境用到的证书域名规范。
还有为什么使用了CurlHandler就没有问题呢?因为我这里的curl没有依赖openssl,在银河麒麟v4中,curl依赖的是gnutls(SSL support is provided by GnuTLS.),如果已经安装了curl可以使用这个命令看它依赖的包:apt-cache depends curl 我这里显示的是:
curl 依赖: libc6 依赖: libcurl3-gnutls 依赖: zlib1g
如果没有安装curl,可以看看libcurl3-gnutls这个包是否存在:dpkg -s libcurl3-gnutls,如果存在这个包,则会显示它的详细信息。
最后如果你想知道自己遇到了什么错误,可以通过下边的代码来获取:
var httpClientHandler = new HttpClientHandler(); httpClientHandler.ServerCertificateCustomValidationCallback = (message, cert, chain, errors) => { if (errors == SslPolicyErrors.None) { return true; } // todo: 在这里输出errors到日志 throw new AuthenticationException($"Ssl certificate validation failed when trying to connect to {message.RequestUri}, Error: {errors}."); } var client = new HttpClient(httpClientHandler);
以上就是本文的主要内容了,如有问题,欢迎反馈。
收获更多架构知识,请关注微信