Fehlt die Zertifikatskette beim QuObjects-Service?

English Allgemein
1

QTS 5.2.9.3451

QuObjects 2.5.539

Ich habe ein QNAP TS-853A, das ich als S3-Ziel mit QuObjects verwende.

Es hat lange Zeit problemlos funktioniert, aber plötzlich treten seltsame Probleme auf.

Ich habe ein „öffentliches“ Zertifikat darauf hinterlegt und verwende es als Ziel für den Proxmox Backup Server.

PBS ist bei Zertifikaten ziemlich streng, deshalb habe ich natürlich die komplette Zertifikatskette ins QNAP hochgeladen.

Ich habe das Zertifikat überprüft, auf dem HTTPS-Port wird die richtige Zertifikatskette angezeigt.

openssl s_client -connect s3.domain.com:443 -servername s3.domain.com -showcerts
Connecting to 185.109.88.115
CONNECTED(00000003)
depth=2 C=GB, O=Sectigo Limited, CN=Sectigo Public Server Authentication Root R46
verify return:1
depth=1 C=GB, O=Sectigo Limited, CN=Sectigo Public Server Authentication CA DV R36
verify return:1
depth=0 CN=s3.domain.com
verify return:1
---
Certificate chain
0 s:CN=s3.domain.com
i:C=GB, O=Sectigo Limited, CN=Sectigo Public Server Authentication CA DV R36
a:PKEY: RSA, 4096 (bit); sigalg: sha256WithRSAEncryption
v:NotBefore: Jun 2 00:00:00 2026 GMT; NotAfter: Dec 17 23:59:59 2026 GMT
-----BEGIN CERTIFICATE-----

…
-----END CERTIFICATE-----
1 s:C=GB, O=Sectigo Limited, CN=Sectigo Public Server Authentication CA DV R36
i:C=GB, O=Sectigo Limited, CN=Sectigo Public Server Authentication Root R46
a:PKEY: RSA, 3072 (bit); sigalg: sha384WithRSAEncryption
v:NotBefore: Mar 22 00:00:00 2021 GMT; NotAfter: Mar 21 23:59:59 2036 GMT
-----BEGIN CERTIFICATE-----
…

-----END CERTIFICATE-----
---
Server certificate
subject=CN=s3.domain.com
issuer=C=GB, O=Sectigo Limited, CN=Sectigo Public Server Authentication CA DV R36
---
No client certificate CA names sent
Peer signing digest: SHA256
Peer signature type: rsa_pss_rsae_sha256
Peer Temp Key: X25519, 253 bits
…

Wenn ich aber den QuObjects-Port prüfe, wird dort nicht die gesamte Kette angezeigt, sondern nur das Server-Zertifikat???

root@proxmox-backup-server:~# openssl s_client -connect s3.domain.com:8010 -servername s3.domain.com -showcerts
Connecting to 185.109.88.115
CONNECTED(00000003)
depth=0 CN=s3.domain.com
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 CN=s3.domain.com
verify error:num=21:unable to verify the first certificate
verify return:1
depth=0 CN=s3.domain.com
verify return:1
---
Certificate chain
 0 s:CN=s3.domain.com
   i:C=GB, O=Sectigo Limited, CN=Sectigo Public Server Authentication CA DV R36
   a:PKEY: RSA, 4096 (bit); sigalg: sha256WithRSAEncryption
   v:NotBefore: Jun  2 00:00:00 2026 GMT; NotAfter: Dec 17 23:59:59 2026 GMT
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
---
Server certificate
subject=CN=s3.domain.com
issuer=C=GB, O=Sectigo Limited, CN=Sectigo Public Server Authentication CA DV R36
---
No client certificate CA names sent
Peer signing digest: SHA256
Peer signature type: rsa_pss_rsae_sha256
Peer Temp Key: X25519, 253 bits
---
SSL handshake has read 2826 bytes and written 1648 bytes
Verification error: unable to verify the first certificate

Ich habe bereits versucht, ein „kombiniertes“ Zertifikat zu verwenden und das Intermediate nicht separat hochzuladen. Aber trotzdem wird die vollständige Kette nicht angezeigt, daher ist die Verbindung von außen betrachtet fehlerhaft.
Wie gesagt, das hat sehr lange ohne Probleme funktioniert – was ist da jetzt los?

2

Ich lasse unser internes Team prüfen, ob dieses Problem tatsächlich besteht. Da du erwähnt hast, dass es vorher stabil lief, könntest du uns bitte mitteilen, auf welche konkreten Probleme du aktuell stößt? Zum Beispiel: Schlägt das Backup fehl oder lässt sich der Vorgang nicht erfolgreich abschließen? Danke!

3

Hallo, gibt es hierzu schon Neuigkeiten?

Wir haben das gleiche Problem: Die vollständige Zertifikatskette wird auf Port 443 zurückgegeben, aber nicht auf 8010. QuTS h5.2.9.3499 und QuObjects 2.5.539.

4

Ich habe dieses Problem ebenfalls reproduziert mit:

Hardware: TS-664
Betriebssystem: QuTS hero h6.0.0.3500
QuObjects: 2.5.629
Client-Anwendung: Anubis v1.26.0

Die Symptome sind wie oben beschrieben:
Die Standard-Administrationsoberfläche auf Port 443 liefert die vollständige Zertifikatskette zurück, QuObjects auf Port 8010 hingegen nicht.