记一次Windows server 2008 上客户端程序使用SSL第一次连接超时问题原因

1. windows 有一个默认组策略，如果SSL根证书在系统中不存在会向根服务器请求，请求的超时时间默认是15s.

2. 由于我们的根证书是自己生成的在系统中是不存在的,所以系统会向根服务器请求.

3. 为什么我们本地没有出现这个问题,因为我们本地是连接的上网络的所以不会有这个问题.如果本地只是简单的断网也不能复现这个问题,因为windows底层向根服务器同步证书是有时效性的,会隔一段时间才同步(具体配置在哪里没有去找).,本地断网后还要将机器时间调大(调大10年)就会复现这个问题.

1. 关闭外网连接:修改DNS服务器配置,将DNS服务器调整为一个不可达的地址

2. 修改机器时间:将机器时间调大10年

3. 使用客户端进行连接

方法1. 关闭系统组策略

    a. 命令行执行gpedit.msc

    b. 点开:计算机配置/管理模板/系统/Internet 通信管理/Internet 通信设置

c. 设置 关闭自动根证书更新 开启

方法2: 将根证书安装到客户端上

方法3: 使用非SSL进行通讯

方法4: 购买合法机构颁布的子证书

分为服务器认证阶段与用户认证阶段

服务器认证阶段：

客户端向服务器发送一个开始信息“Hello”以便开始一个新的会话连接；

服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；

客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；

服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。

用户认证阶段：

在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。

---