Kingbase SSL连接时证书验证失败如何解决？

Question

在使用Kingbase数据库建立SSL连接时，常见问题为“证书验证失败：unable to get local issuer certificate”。该问题通常由于客户端未正确配置受信任的CA证书链导致。即使服务器已启用SSL，若客户端未将Kingbase数据库所使用的CA证书添加至本地信任库，或证书路径配置错误，OpenSSL将在握手阶段拒绝连接。此外，证书中的主机名与实际连接地址不匹配，或系统时间不在证书有效期内，也会触发验证失败。此问题多出现在开发测试环境或自签名证书部署场景中，需结合日志分析具体原因并调整证书配置。

Answer 1

一、问题背景与现象分析

在使用Kingbase数据库建立SSL连接时，常见的错误提示为：“证书验证失败：unable to get local issuer certificate”。该错误属于OpenSSL底层抛出的典型X.509证书链验证异常。

此问题通常出现在以下场景中：

• 客户端未配置正确的CA证书路径；
• 使用的证书为自签名或私有CA签发，未被系统信任库识别；
• 证书链不完整，缺少中间CA证书；
• 连接主机名与证书Subject Alternative Name（SAN）或Common Name（CN）不匹配；
• 操作系统时间超出证书有效期范围。

尤其是在开发测试环境中，由于频繁使用自签名证书且缺乏标准化部署流程，此类问题尤为突出。

二、技术原理深度解析

SSL/TLS连接建立过程中，客户端会执行完整的证书链校验流程。其核心步骤包括：

1. 服务器发送其证书链（含终端实体证书和可选的中间CA证书）；
2. 客户端尝试从本地信任锚（trusted root CAs）出发，构建一条通往服务器证书的可信路径；
3. 若无法找到匹配的根证书或路径断裂，则返回“unable to get local issuer certificate”错误；
4. 即使证书链有效，还需通过主机名验证（hostname verification），确保SNI与证书字段一致；
5. 最后检查证书是否在有效期内，并确认未被吊销（CRL/OCSP）。

Kingbase作为国产关系型数据库，其SSL模块基于OpenSSL实现，因此完全遵循上述标准行为。

三、常见排查路径与诊断方法

面对该问题，建议按如下顺序进行排查：

排查项	检查方式	工具命令示例
证书文件是否存在	确认root.crt或指定CA文件存在	ls $SSL_CERT_DIR/root.crt
证书内容可读性	查看PEM格式是否正确	openssl x509 -in root.crt -text -noout
证书链完整性	检查是否包含中间CA	openssl verify -CAfile ca-chain.pem server.crt
主机名匹配性	比对连接地址与证书SAN/CN	echo | openssl s_client -connect host:5432 -servername host
系统时间准确性	确认系统时钟未偏移	date, timedatectl

四、解决方案与配置实践

根据不同的部署模式，提供以下几种可行方案：

方案一：将CA证书添加至客户端信任库

# 假设Kingbase服务器使用自签CA证书 kingbase-ca.crt
cp kingbase-ca.crt /usr/local/ssl/certs/
c_rehash /usr/local/ssl/certs/
# 或直接在连接字符串中指定
export PGSSLROOTCERT=/path/to/kingbase-ca.crt

方案二：应用程序级绕过验证（仅限测试环境）

某些驱动允许关闭主机名验证或证书验证，例如JDBC连接串：

jdbc:kingbase://host:5432/db?ssl=true&sslfactory=org.kingbase.ssl.NonValidatingFactory&sslmode=allow

方案三：使用全局证书目录统一管理

设置环境变量指定证书搜索路径：

export SSL_CERT_FILE=/etc/ssl/certs/ca-certificates.crt
export SSL_CERT_DIR=/etc/ssl/certs

五、可视化流程图：SSL连接验证全过程

graph TD
            A[客户端发起SSL连接] --> B{服务器返回证书链}
            B --> C[解析证书结构]
            C --> D[查找本地信任根CA]
            D --> E{是否存在匹配根证书?}
            E -- 是 --> F[验证证书签名链]
            E -- 否 --> G[报错: unable to get local issuer certificate]
            F --> H{签名链完整且有效?}
            H -- 是 --> I[执行主机名验证]
            H -- 否 --> G
            I --> J{主机名匹配SAN/CN?}
            J -- 是 --> K[检查有效期与吊销状态]
            J -- 否 --> L[报错: hostname mismatch]
            K --> M{证书有效?}
            M -- 是 --> N[SSL握手成功]
            M -- 否 --> O[报错: certificate expired/untrusted]

六、高级调试技巧与日志分析

启用详细SSL日志有助于定位问题根源：

# 使用OpenSSL命令行模拟连接
openssl s_client -connect your-kingbase-host:5432 -showcerts -CAfile /path/to/ca.crt

输出中重点关注以下字段：

• Verify return code：返回0表示验证通过，非零值对应具体错误码；
• Certificate chain：展示实际收到的证书层级；
• subject/issuer：用于判断证书签发关系；
• Subject Alternative Name：决定主机名验证结果。

结合Kingbase服务端日志（如kingbase.log），可进一步确认是否因客户端证书缺失导致拒绝连接。

七、企业级最佳实践建议

为避免此类问题在生产环境中反复出现，推荐实施以下策略：

1. 统一使用企业内部PKI体系签发数据库证书；
2. 自动化分发CA证书至所有客户端节点；
3. 建立证书生命周期管理制度，包含更新、轮换与通知机制；
4. 在CI/CD流水线中集成SSL连接健康检查；
5. 禁用sslmode=require以外的弱安全模式；
6. 定期审计数据库连接的安全配置合规性；
7. 对开发环境采用与生产环境一致的证书模型，减少差异性风险；
8. 利用配置管理工具（如Ansible、Puppet）维护SSL相关文件一致性。