Horizon连接证书问题：如何解决“证书无效”或“证书不受信任”错误？

Question

在使用Horizon连接时，常常遇到“证书无效”或“证书不受信任”的错误。这通常是因为客户端无法验证服务器证书的有效性或可信度。要解决这一问题，首先确认服务器使用的SSL/TLS证书是由受信任的CA（证书颁发机构）签发的，而非自签名证书。如果使用自签名证书，需将该证书导入到客户端的信任存储中。 其次，检查证书是否过期或被吊销，并确保其与服务器域名匹配。此外，更新Horizon客户端至最新版本，以支持最新的加密协议和证书格式。若问题依旧存在，可尝试手动导入服务器证书到客户端的信任库，或配置Horizon连接服务器以使用受信任的公共CA证书。最后，核查网络中间设备（如防火墙或代理）是否对证书造成干扰。通过以上步骤，大多数“证书无效”或“证书不受信任”的问题都能得到有效解决。

Answer 1

1. 问题概述

在使用Horizon连接时，常常遇到“证书无效”或“证书不受信任”的错误。这一问题的根源在于客户端无法验证服务器SSL/TLS证书的有效性或可信度。以下是导致该问题的常见原因：

• 服务器使用的证书是自签名证书。
• 证书已过期或被吊销。
• 证书与服务器域名不匹配。
• Horizon客户端版本较旧，不支持最新的加密协议或证书格式。
• 网络中间设备（如防火墙或代理）干扰了证书验证过程。

2. 初步检查与解决方案

解决此问题的第一步是确认服务器证书是否由受信任的CA签发。如果服务器使用的是自签名证书，则需要将该证书导入到客户端的信任存储中。

1. 获取服务器的自签名证书。
2. 在客户端操作系统中，打开证书管理工具（例如Windows的“管理计算机证书”）。
3. 将自签名证书导入到“受信任的根证书颁发机构”存储中。

3. 进一步分析与处理

如果初步检查后问题仍未解决，可以按照以下步骤深入分析：

检查项	操作步骤	可能结果
证书有效期	使用openssl命令：openssl x509 -in certificate.cer -text -noout	查看证书的“Not Before”和“Not After”字段。
证书吊销状态	访问CRL（证书吊销列表）或OCSP服务进行验证。	确认证书是否已被吊销。
域名匹配	对比证书中的“Common Name”或“Subject Alternative Name”字段与实际服务器域名。	确保两者完全一致。

4. 客户端与服务器配置优化

更新Horizon客户端至最新版本，并确保其支持最新的加密协议和证书格式。如果仍然存在问题，可以通过以下方式进一步优化：

# 配置Horizon连接服务器以使用受信任的公共CA证书
sudo openssl req -new -x509 -key server.key -out server.crt -days 365
sudo cp server.crt /etc/ssl/certs/
sudo update-ca-certificates

5. 网络环境排查

最后，核查网络中间设备（如防火墙或代理）是否对证书造成干扰。以下是排查流程图：

graph TD;
    A[开始] --> B{是否存在中间设备？};
    B --是--> C[检查中间设备配置];
    B --否--> D[检查客户端与服务器直连];
    C --> E{中间设备是否修改证书？};
    E --是--> F[调整中间设备设置];
    E --否--> G[联系厂商支持];