Pasar certificado pfx a pem para CURL

[ermendalenda]

Empezado por Decanato

Ese parámetro se lo añado al comando curl??? Lo dices para hacer lo que me dijiste de renombrar el pfx a p12??

El curl que mando, cuando es con p12, es el siguiente:

curl.exe --connect-timeout 300 -m 300 -S -L -d "@DNI_CIF.xml" -o c:\sgb\xml\DNI_CIF_Respuesta.xml --cert-type P12 --cert Certificado.p12ass https://www1.agenciatributaria.gob.e.../ws/VNifV2SOAP

Ahí dices que lo meta???... Y qué hace exactamente ese parámetro??

Gracias por tu interés y paciencia

-k se salta las comprobaciones de certificados(tanto del propio certificado de curl como deo servidor del sevicio al que llamas), ten en cuenta que curl tiene un certificado que dependiendo de la version, tambien caduca, con el parametro -k se va a saltar tambien esa verificaciom tu llamada, es correcta en el resto, pero agregale en los parametros -k
Para que quede... -k -S -L -d...
Te va aquitar algunos dolores de cabeza.
Ten en cuenta que algunos antivirus bloquean las llamadas ssl al puerto 443, como es wl caso de kaspersky. Tienes que verificar que tengas deaactivado ese filtro.

[Decanato]

Empezado por ermendalenda

-k se salta las comprobaciones de cerrificados,, es correcta la llamada que haces, pero agregale en los parametros -k
Para que quede... -k -S -L -d...
Te va aquitar algunos dolores de cabeza.
Ten en cuenta que algunos antivirus bloquean las llamadas ssl al puerto 443, como es wl caso de kaspersky. Tienes que verificar que tengas deaactivado ese filtro.

Muchas gracias!! Mañana lo probaré y os cuento

[ermendalenda]

Empezado por Decanato

Muchas gracias!! Mañana lo probaré y os cuento

por otro lado haz caso al post que te puso el compañero, dependiendo de como hayas generado el pfx (si es el original o lo has generado desde tu pc desde el almacen de certificados) puede que no tenga clave y solo te valga para tu máquina,
a curl le da igual la extensión y nombre de archivo que tengas, por poner un nivel mas de seguridad, cuando alojes el archivo cambiale a una extensión (o sin extensión) a otra que no tenga que ver con certificados.
Con "-cert-type P12 --cert ...." ya te va a mirar el contenido del archivo sin mirar que extensión tiene.

Yo suelo poner el path completo de los archivos de envios y respuestas para no tener que estar pendiente desde donde ejecuto la llamada.

si al final de la llamada le agregas "--trace "C:\...respuesta_trace.txt" en ese archvio de logs te hace un trace completo que te va a dar más pistas de donde puede estar el problema.
Además te recomiendo que te acostumbres a usar este trace, por que a veces curl no da respuestas cuando hay probelmas de conexion y con lo que te devuelva trace puedes "apañar" el control.

[ermendalenda]

Más cosas,
Puede que en algún cliente te encuentres que no hay forma dd usar curl y esto es, muy probablemente por que el proveedor de servicios lo ha puesto en CG-NAT y la unica solucion es que el proveedor te saque(desactive) de cg-nat que ddben hacerlo obligatoriamente si se lo solicitas.

Esto hace unos años ocurria con provedores asequibles, pero ya se han subido al carro todos.
También me he encontrado algún router con filtros desde el operador, resetean parametros y a funcionar.

[ermendalenda]

Cómo comprobar si tienes CG-NAT

1. Busca tu IP pública:

Entra en whatismyip.com o pon en Google: “cuál es mi IP”.

Apunta ese número (ejemplo: 84.123.45.67).



2. Mira la IP que te da tu router:

Entra en la configuración del router (suele ser 192.168.1.1 o 192.168.0.1).

Busca en “Estado de conexión WAN” o “Internet”.

Verás la dirección IP asignada por el operador.

3. Compara las dos:

Si son iguales : tienes IP pública (no CG-NAT).

[Decanato]

Muchas gracias ermendalenda y delphi.com.ar por vuestro interés y aportaciones. A ver si voy probando cosas y os digo.

[Decanato]

Bueno, pues seguimos... Generé en mi equipo el pem y el key sin aparente problema, me pidió la contraseña, se la puse y me generó los dos ficheros. Paso los ficheros al equipo del cliente y pruebo a lanzar el curl siguiente:

curl.exe --connect-timeout 300 -m 300 -k -S -L -d "@c:\sgb\xml\DNI_CIF.xml" -o c:\sgb\xml\DNI_CIF_Respuesta.xml --cert c:\sgb\certificado.pem --key c:\sgb\certificado.key https://www1.agenciatributaria.gob.e.../ws/VNifV2SOAP --trace "C:\SGB\XML\TRACE.TXT"

Y nada, me da error siguiente:

curl: (58) schannel: Failed to import cert file c:\sgb\certificado.pem

Y el contenido del trace es el siguiente:

== Info: Host www1.agenciatributaria.gob.es:443 was resolved.
== Info: IPv6: (none)
== Info: IPv4: 195.77.198.17
== Info: Trying 195.77.198.17:443...
== Info: Connected to www1.agenciatributaria.gob.es (195.77.198.17) port 443
== Info: schannel: disabled automatic use of client certificate
== Info: schannel: Failed to import cert file c:\sgb\marysierra.pem, last error is 0x80092002
== Info: Closing connection

No sé si el problema puede estar aquí ("schannel: disabled automatic use of client certificate"), por lo que he buscado y me dice que "la configuración de seguridad de Windows (Schannel) no está configurada para seleccionar automáticamente un certificado de cliente para la autenticación en un sistema operativo Windows"... Y la pregunta sería cómo hago para configurar eso????

(Vaya pesadilla, macho... no me esperaba ni por asomo encontrarme esto al empezar con los clientes, cuando yo ya llevo varios meses enviando mis registros de facturación a producción sin problemas )