对SSLVerifyClient进行例外要求

Question

我有apache2 httpd版本2.2.9在端口443上用SSLEngine监听.所有网址都有SSLVerifyClient require,这很好用.

我想对特定的URL(/ca.crt)进行例外处理,以便我的客户端可以下载我们签发的证书所签署的CA证书.我尝试以下方法:

SSLVerifyClient require

Alias /ca.crt /my/ssl/certs/ca.crt
<Location /ca.crt>
  SSLVerifyClient none
</Location>

我的问题是Apache似乎只想增加SSL客户端证书要求的强度.如果我翻转这两个要求,它按指定的方式工作.如上所述,Apache实际上忽略了该SSLVerifyClient none指令.

这是怎么回事？这是一个错误吗？

Answer 1

好吧,事实证明这个问题的答案在文档中(通常是!)

在每服务器上下文中[SSLVerifyClient指令]适用于建立连接时标准SSL握手中使用的客户端身份验证过程.

基本上第一个SSLVerifyClient指令是在每服务器上下文中.我<Directory>为根目录做了一个明确的声明,并将SSLClientVerify require指令放在那里.这样做了.