Problem mit OpenSSL: liefert Connection Error

[hoika]

Hallo,

Zitat:

Nur dann gilt in jedem Fall Unicode für die Stringverarbeitung. Da mein Programm sehr viel mit Strings hantiert, habe ich die Konvertierung bislang gescheut - auch aus Zeitgründen.

Hier kann ich dir nur raten, baue dir Unittests (z.B. mit DUnit oder DUnitX).
Die läßt du sowohl mit dem alten Delphi als auch mit dem neuen Delphi laufen.

[subria813]

Was soll "gepatchte Version" heißen? Ich benutze Indy 9.0.17 schon eine geraume Weile und habe bislang keine Probleme gehabt. Im Moment besteht halt das Problem, dass ich mit dem gleichen Code an beide Server gehe (http), bei dem einen funktionieren alle Requests, bei dem anderen nicht. Ich arbeite daran.

[Delphi.Narium]

Gepatchte Version heißt: Eine ältere Version, die eigentlich nicht mehr unterstützt wird, wurde dahingehend ergänzt, dass sie auch mit aktuellem OpenSSL zurechtkommen.

Ohne diese Version wirst Du eventuell nicht zu einem Ergebnis kommen, da heutige Server Funktionalitäten nutzen, die es zu Zeiten von Indy 9 noch nicht gab und daher in der von Dir genutzten Version von Indy 9 auch nicht vorhanden sind?

Sprich: Ohne Nutzung des Patches oder einen Versionswechsel der Indys wirst Du (wenn Du Pech hast - und danach sieht es irgendwie aus) nicht weiterkommen.

[MichaelT]

Gemeint war der letzte Stand von Indy 9. Das passt schon.

Was sagt denn Open SSL wenn du mit dem s_client draufgehst. openssl s_client ... Gibt es einen Unterschied?

Ansonsten wäre die Fehlermeldung interessant.

Zitat von subria813:

Was soll "gepatchte Version" heißen? Ich benutze Indy 9.0.17 schon eine geraume Weile und habe bislang keine Probleme gehabt. Im Moment besteht halt das Problem, dass ich mit dem gleichen Code an beide Server gehe (http), bei dem einen funktionieren alle Requests, bei dem anderen nicht. Ich arbeite daran.

[subria813]

Wenn ich mit Openssl s_client auf die Server gehe, dann gibt es keinen Unterschied bei den jeweiligen Rückmeldungen. Hmm?

Ich habe jetzt auch über Wireshark den Netzwerk-Traffic angeschaut. Bei dem produktiven Server läuft es durch mit den ganzen SSL Frames. Beim Testserver gibt es nur einen Frame für SSL mit "Client Hello" und es kommt nur eine TCP Antwort vom Server, die mir nichts sagt.

[subria813]

Ich denke, dass ich den "Fehler" gefunden habe.

Über OpenSSL s_client hatte ich nur -connect incl Port eingegeben. Bei den beiden Zugriffen auf die Server konnte ich sehen, dass unterschiedliche Zertifikate angezogen wurden. Wenn ich den Parameter -servername zusätzlich angebe, dann wird in beiden Fällen das gleiche(!) Zertifikat ausgegeben.

Leider unterstützt Indy 9 nicht die Angabe eines Servernamem(kein SNI Support). Ich habe in den Quellen von Indy 9 auch nichts in der Richtung entdecken können. Inwieweit das in Indy 10 implementiert ist, habe ich nicht final herausfinden können (Internet). Ich werde mal einen Versuch mit der Community Edition starten - wenn ich die Zeit dazu finde.