linux openssl怎样调试问题

在 Linux 下使用 OpenSSL 时，“调试问题”通常分为几类：证书/TLS 连接问题、命令行用法问题、程序调用 OpenSSL 库的问题。下面按常见场景给你一套实用调试思路。

一、TLS / HTTPS 连接调试（最常用）

1. 用 openssl s_client 测试连接

openssl s_client -connect example.com:443 -servername example.com

常用参数：

-debug          # 打印详细调试信息
-state          # 显示握手状态
-CAfile ca.pem  # 指定 CA 证书
-showcerts      # 显示完整证书链

示例（查看证书是否过期、域名是否匹配）：

openssl s_client -connect example.com:443 | openssl x509 -noout -text

2. 查看证书信息

openssl x509 -in cert.pem -noout -text
openssl x509 -in cert.pem -noout -dates
openssl x509 -in cert.pem -noout -subject -issuer

3. 测试特定 TLS 版本

openssl s_client -connect example.com:443 -tls1_2
openssl s_client -connect example.com:443 -tls1_3

4. 查看支持的加密套件

openssl ciphers -v

二、OpenSSL 命令本身调试

1. 查看 OpenSSL 版本

openssl version
openssl version -a

不同版本（1.0.2 / 1.1.1 / 3.x）行为差异很大。

2. 增加命令调试输出

openssl genrsa -out test.key 2048 -verbose

三、程序调用 OpenSSL 库调试（C / Python / Java 等）

1. 开启 OpenSSL 错误输出

C 程序中：

ERR_print_errors_fp(stderr);

2. 设置调试环境变量

export OPENSSL_TRACE=ALL
export OPENSSL_CONF=/path/to/openssl.cnf

3. 查看错误码含义

openssl errstr <错误码>

例如：

openssl errstr 14094418

四、证书链 / 信任问题调试

1. 验证证书链

openssl verify -CAfile ca.pem cert.pem
openssl verify -untrusted intermediate.pem cert.pem

2. 常见错误

• unable to get local issuer certificate → CA 缺失
• certificate has expired → 证书过期
• hostname mismatch → SAN / CN 不匹配

五、抓包辅助调试（终极手段）

tcpdump -i any -w tls.pcap port 443

再用 Wireshark 分析 TLS 握手失败原因。

六、常见问题速查表

如果你有具体报错信息或场景（例如：Nginx + OpenSSL、Python requests、C 程序 SSL_connect 失败），可以直接贴出来，我可以帮你精确定位。