Устранение ошибки проверки SSL-сертификата в ClickHouse

Узнайте, как исправить ошибку SSL Exception CERTIFICATE_VERIFY_FAILED.

​

Устранение ошибки проверки SSL-сертификата с кодом 210 в ClickHouse

Обычно эта ошибка выглядит так:

Code: 210. DB::NetException: SSL Exception: error:1000007d:SSL routines:OPENSSL_internal:CERTIFICATE_VERIFY_FAILED

​

Причина ошибки

Эта ошибка возникает при попытке подключиться к серверу ClickHouse с помощью clickhouse-client. Причина может быть одной из следующих:

• в файле конфигурации клиента config.xml отсутствует корневой сертификат из системного хранилища доверенных CA по умолчанию, или
• самоподписанный или внутренний CA‑сертификат не настроен

​

Решение

Если используется внутренняя или самоподписанная CA, настройте корневой CA‑сертификат в config.xml в каталоге клиента (например, /etc/clickhouse-client) и отключите загрузку корневых CA‑сертификатов по умолчанию из стандартного расположения.

Ниже приведён пример конфигурации:

<openSSL>
    <client>
        <loadDefaultCAFile>false</loadDefaultCAFile>
        <caConfig>/etc/clickhouse-server/certs/marsnet_ca.crt</caConfig>
        <cacheSessions>true</cacheSessions>
        <disableProtocols>sslv2,sslv3</disableProtocols>
        <preferServerCiphers>true</preferServerCiphers>
        <invalidCertificateHandler>
            <name>RejectCertificateHandler</name>
        </invalidCertificateHandler>
    </client>
</openSSL>

​

Дополнительные ресурсы

См. https://clickhouse.com/docs/interfaces/cli/#configuration_files