OpenSSL在Linux中的错误代码及解决方法 - 问答

OpenSSL在Linux中的错误代码与解决方法

一安装与库加载类错误

二证书验证与X.509错误代码

常用返回码与含义
- X509_V_OK (0)：验证成功
- X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT (2)：无法获取颁发者证书
- X509_V_ERR_UNABLE_TO_DECRYPT_CERT_SIGNATURE (4)：无法解密证书签名
- X509_V_ERR_CERT_SIGNATURE_FAILURE (7)：证书签名无效
- X509_V_ERR_CERT_NOT_YET_VALID (9)：证书尚未生效
- X509_V_ERR_CERT_HAS_EXPIRED (10)：证书已过期
- X509_V_ERR_UNABLE_TO_GET_CRL (3)：无法获取CRL
- X509_V_ERR_CERT_REVOKED (23)：证书已被吊销
- X509_V_ERR_INVALID_CA (24)：无效的CA证书
- X509_V_ERR_CERT_UNTRUSTED (27)：证书不受信任
- X509_V_ERR_CERT_CHAIN_TOO_LONG (22)：证书链过长
- X509_V_ERR_INVALID_PURPOSE (26)：证书用途不支持
快速排查
- 使用命令：openssl verify -CAfile trusted_ca.pem -untrusted chain.pem cert.pem
- 检查系统时间是否正确（证书生效/过期依赖时间）
- 确认中间证书完整并与服务器配置一致
- 若报不受信任，添加正确的根/中间CA到信任库

三网络与套接字类错误

错误现象
- 使用 openssl s_client 时报错：socket: Bad file descriptor、connect: errno=9
典型原因
- EBADF（9） 表示使用了无效/已关闭的文件描述符；进程打开文件/套接字数达上限；参数错误或目标不可达。
解决步骤
- 校验目标地址与端口：openssl s_client -connect example.com:443
- 检查本机到目标的连通性：nc -zv example.com 443 或 telnet
- 查看并提升文件描述符限制：
  - 当前会话：ulimit -n
  - 临时提升：ulimit -n 10000
  - 永久提升：在 /etc/security/limits.conf 增加
    - - soft nofile 10000
    - - hard nofile 10000
  - 系统级：在 /etc/sysctl.conf 设置 fs.file-max=100000 并执行 sysctl -p
- 重启相关服务或系统以清理僵尸连接与占用

四开发与构建环境错误

错误现象
- 构建时报错：openssl/rsa.h: No such file or directory 或 Configuration failed because openssl was not found
- 链接时报错：找不到 -lssl 或 -lcrypto
- 多版本并存导致符号冲突或 relocation error
解决步骤
- 安装开发包：sudo apt-get install libssl-dev 或 sudo yum install openssl-devel
- 确保 pkg-config 能找到 OpenSSL：export PKG_CONFIG_PATH=/usr/lib/pkgconfig（路径因发行版/架构可能为 /usr/lib/x86_64-linux-gnu/pkgconfig）
- 若从源码构建 OpenSSL（示例）：
  - ./config –prefix=/usr/local/ssl shared
  - make && sudo make install
  - echo “/usr/local/ssl/lib” | sudo tee /etc/ld.so.conf.d/openssl.conf
  - sudo ldconfig
- 统一开发与运行环境的 OpenSSL 版本，避免应用链接到与系统库不一致的版本

五快速定位与通用排查清单

0 赞

0 踩