CONNECTED(000001DC) write:errno=10054 no peer certificate available

Question

**问题描述：** 在使用SSL/TLS进行安全通信时，客户端或服务端连接突然中断，并日志中出现错误信息：`CONNECTED(000001DC) write:errno=10054 no peer certificate available`。该错误通常出现在基于OpenSSL的应用程序中，尤其是在建立HTTPS连接、MQTT通信或自定义安全协议时。开发者常遇到的疑问是：为何在连接已建立（CONNECTED）的状态下，写操作仍会失败？具体表现为Windows系统下的Winsock错误10054（远程主机强迫关闭了一个现有的连接），并伴随“no peer certificate available”提示，说明对端未提供有效证书，导致SSL握手失败或连接异常终止。 此问题涉及网络通信、SSL/TLS握手流程、证书验证机制等多个层面，需深入分析连接建立过程中的证书交换逻辑与底层套接字行为。

Answer 1

SSL/TLS连接异常中断问题分析：`write:errno=10054 no peer certificate available`

1. 问题背景与初步理解

在基于OpenSSL的网络通信中，开发者常遇到连接建立后突然中断的情况，并伴随如下典型错误日志：

CONNECTED(000001DC) write:errno=10054 no peer certificate available

其中：

• CONNECTED(...) 表示TCP连接已成功建立。
• write:errno=10054 是Windows平台下的Winsock错误码，表示“远程主机强迫关闭了一个现有的连接”。
• no peer certificate available 表示对端未提供有效证书或未完成TLS握手阶段。

2. 网络连接流程与SSL/TLS握手阶段分析

要理解为何连接建立后写操作仍失败，需明确SSL/TLS握手流程和TCP连接状态之间的关系。

下图展示了典型的SSL/TLS握手过程与TCP连接状态变化的关系：

      graph TD
        A[TCP Connect] --> B[ClientHello]
        B --> C[ServerHello]
        C --> D[Certificate Exchange]
        D --> E[Key Exchange]
        E --> F[Finished]
        F --> G[Application Data]
        H[Write Failure] -->|Before Finished| I[Connection Reset]
    

尽管TCP连接已经建立（即显示为CONNECTED），但SSL/TLS握手尚未完成。此时进行写操作会触发底层套接字错误，因为安全通道尚未就绪。

3. 错误产生的可能原因

以下是一些常见的导致该错误的原因：

编号	原因描述	影响	常见场景
1	服务端未发送证书	客户端无法验证身份，终止连接	配置错误、证书路径错误、证书过期等
2	证书验证失败	客户端拒绝继续通信	自签名证书、CA不信任、域名不匹配等
3	SSL/TLS协议版本不一致	握手失败	客户端和服务端支持的TLS版本不同
4	中间设备（如防火墙）中断连接	连接被强制关闭	网络策略限制、超时、负载过高
5	应用层提前调用write()	SSL通道未就绪	未等待握手完成即发送数据

4. 诊断方法与排查步骤

可采用以下步骤进行问题定位：

1. 检查日志详细级别：启用OpenSSL调试模式，查看完整的握手过程。
2. 使用Wireshark抓包分析：确认是否收到ServerHello和Certificate消息。
3. 验证证书链完整性：确保服务端证书正确加载并包含完整链。
4. 测试基本连接：使用openssl s_client -connect host:port手动连接，观察输出。
5. 检查系统时间：证书有效期依赖于准确的系统时间。
6. 查看防火墙/代理设置：排除中间设备干扰。

5. 示例代码与修复建议

以下是一个简单的OpenSSL客户端连接示例，展示如何正确处理握手流程：

#include <openssl/ssl.h>
#include <openssl/err.h>

SSL_CTX* create_context() {
    const SSL_METHOD *method = TLS_client_method();
    SSL_CTX *ctx = SSL_CTX_new(method);
    if (!ctx) {
        ERR_print_errors_fp(stderr);
        exit(EXIT_FAILURE);
    }
    return ctx;
}

void connect_to_server(const char *hostname, int port) {
    SSL_CTX *ctx = create_context();
    // 加载根证书
    if (SSL_CTX_load_verify_locations(ctx, "ca-cert.pem", NULL) <= 0) {
        ERR_print_errors_fp(stderr);
    }

    // 创建socket并连接
    int sock = create_socket_connection(hostname, port); // 自定义函数

    SSL *ssl = SSL_new(ctx);
    SSL_set_fd(ssl, sock);

    if (SSL_connect(ssl) == -1) {
        ERR_print_errors_fp(stderr);
    } else {
        printf("SSL connection established\n");
        // 此处再执行写操作
    }

    SSL_free(ssl);
    close(sock);
    SSL_CTX_free(ctx);
}

注意：必须在SSL_connect()返回成功后再执行写操作，否则可能导致连接中断。

6. 最佳实践与预防措施

为避免此类问题，建议采取以下措施：

• 始终验证证书有效性（使用CA证书库）。
• 使用最新的TLS版本（如TLS 1.3）。
• 禁用弱加密算法和旧协议版本。
• 启用双向认证（mTLS）以增强安全性。
• 定期更新证书并监控其有效期。
• 在网络边界部署健康检查机制。
• 记录详细的连接日志用于故障排查。