tailscale cert 获取的证书如何作文自有证书使用？

[gemnioo]

纯粹瞎折腾, 因 tailscale serve / funnel 会自动获取 Let's Encrypt 提供的证书有效期为 90 天； 放在 "/var/lib/tailscale/certs" 路径下; 如果我复制到 /etc/hysteria 路径下; 并授予 hysteria 用户权限

sudo cp tailnet_name.ts.net.crt /etc/hysteria/server.crt
sudo cp tailnet_name.ts.net.key /etc/hysteria/server.key

sudo chown hysteria:hysteria /etc/hysteria/server.crt /etc/hysteria/server.key
sudo chmod 644 /etc/hysteria/server.crt
sudo chmod 600 /etc/hysteria/server.key

服务端配置文件如下

##服务端 config.yaml
listen: :443
tls:
  cert: /etc/hysteria/server.crt
  key: /etc/hysteria/server.key

重启 hysteria 服务后服务端日志报错如下

 {"error": "invalid config: tls: tls: private key does not match public key"}

验证MD5 是相同的

openssl x509 -noout -modulus -in /etc/hysteria/server.crt | openssl md5
openssl rsa -noout -modulus -in /etc/hysteria/server.key | openssl md5

openssl x509 -noout -modulus -in ~/tailnet_name.ts.net.crt | openssl md5
openssl rsa -noout -modulus -in ~/tailnet_name.ts.net.key | openssl md5

重新使用证书后能够正常启动 Hysteria 服务

[haruue]

如果证书是 ECC 而不是 RSA 的话， 那么 openssl 就无法获取 -modulus。

我看了下 tls: private key does not match public key 这个错误的话应该只会是公私钥不匹配。

我不使用 tailscale 因此无法验证它的证书是否能给其它 tls 程序使用。 此外， 如果你希望签署证书同时给多个程序使用（比如同时给 Hysteria / Caddy / Nginx 使用）， 推荐的方法是用 acme.sh 并遵照 它的说明 。

[gemnioo]

重新复制正确的证书对； 并给予权限后, Hysteria 能够正常启动，日志现实一切正常，但client 端口无法 Ping 通, 开始更疑惑了

sudo cp /var/lib/tailscale/certs/tailnet_name.ts.net.crt /etc/hysteria/tailscale.crt
sudo cp /var/lib/tailscale/certs/tailnet_name.ts.net.key /etc/hysteria/tailscale.key

sudo chown hysteria:hysteria /etc/hysteria/tailscale.crt /etc/hysteria/tailscale.key 
sudo chmod 600 /etc/hysteria/tailscale.key 
sudo chmod 644 /etc/hysteria/tailscale.crt

[haruue]

你是怎么 ping 端口的？

首先只有 ICMP 有 echo request 和 echo reply。 带端口的协议， 不管是 TCP 还是 UDP 都是没有这个特性的。

像 mtr -u -P 这种所谓的 ping UDP 端口的话， 是把端口未开放时返回的 ICMP port unreachable 消息当作 echo reply 来使用的。 像 hysteria 这种遇到不认识的包什么也不返回的当然就 「ping 不通」。

[gemnioo]

just ping in opencalsh MetacubeXD mihomo GUI. 服务端 Hysteria 能够正常启动，日志显示一切正常, 查看源 acme-account.key.pem 是找 certificates provided by Let's Encrypt have a 90 day expiry

/var/lib/tailscale/certs# ls
acme-account.key.pem  tailnet_name.ts.net.crt  tailnet_name.ts.net.key