はじめに

サーバーAのSSL証明書をLet's Encryptに変更後、サーバーBからサーバーAのapiを叩くと以下のエラーが返ってきた。

error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed in /var/www/hoge/class/Net/Socket.php on line 108
PHP Warning:  fsockopen(): Failed to enable crypto in /var/www/hoge/class/Net/Socket.php on line 108
PHP Warning:  fsockopen(): unable to connect to ssl://fuga.jp:443 (Unknown error) in /var/www/hoge/class/Net/Socket.php on line 108

参考記事にあるように、今回はサーバーBのルート証明書が古かった。
参考：https://qiita.com/kidach1/items/ee2de96a41672ca64dbb

サーバーBのシステム情報：
・debian 8 (Jessie)
・OpenSSL 1.0.1t 3 May 2016
・PHP 5.6.13

サービスになるべく影響が出ないようにPHPのバージョンは変えずに対応したい。
対応方法としては以下の2つ：

Opensslのバージョンを上げるためにOSのバージョンを上げる
ルート証明書からDST Root X3を削除し、ISRG Root X1を追加（参考：https://zenn.dev/kjur/articles/9f3028b5c47d75）

最終的には2.で対応したが、1.で一通り動く環境が作成できたので記録として残しておく。

OSアップデート

Let's Encryptによるとdebian 8でも対応できそうだが、aptのアップデートを試しても更新されなかったのでOSを上げてOpensslのバージョンを上げることによって対応することにした。

Debian >= jessie / 8 (with updates applied)
参考：https://letsencrypt.org/docs/certificate-compatibility/

幸いDockerで環境構築されているので、Dockerfileを編集して対応していく。

FROM debian:jessie
↓
FROM debian:stretch

Opensslのバージョンが1.1.0lに上がっていることを確認。

# openssl version
OpenSSL 1.1.0l  10 Sep 2019

debian 9でPHP5.6の環境構築

次にPHPのインストールと設定を行なっていたが、ここでcurlのエラーが発生。

# ./configure \
		--with-config-file-path=/usr/local/etc/php \
		--with-config-file-scan-dir=/usr/local/etc/php/conf.d \
		--with-apxs2 \
		--disable-cgi \
		--with-mysql=/usr \
		--with-mysqli=mysqlnd \
		--with-pdo-mysql=mysqlnd \
		--with-curl \
		--with-openssl \
		--with-pcre \
		--with-readline \
		--with-recode \
		--with-zlib

~~略~~

checking for cURL support... yes
checking for cURL in default path... not found
configure: error: Please reinstall the libcurl distribution -
    easy.h should be in <curl-dir>/include/curl/

findで探してもeasy.hはないことが判明。

PHPのバージョンを7以上にすると動くらしいが、影響範囲が大きいので今回はバージョンを上げずに対応したい。

Expected Result
the installation of the later versions to 7 I can install normal everything perfect.
But the installation of the 5th version I can not
参考：https://github.com/phpbrew/phpbrew/issues/925

対応策として以下の方法が記載されていたが、「libcurl4-openssl-dev」を使用していたため競合して「libcurl4-gnutls-dev」をインストールすることができなかった。
また/usr/include/x86_64-linux-gnu/curl/がそもそも無かったので、シンボリックリンクを作成することもできなかった。

sudo apt-get install libcurl4-gnutls-dev
cd /usr/local/include/
sudo ln -s /usr/include/x86_64-linux-gnu/curl/
参考：https://github.com/phpbrew/phpbrew/issues/925#issuecomment-454216651

php5.6-curlを入れると動きそうだったので、インストールしようとしたらパッケージが見つからない。

Unable to locate package php5.6-curl
Couldn't find any package by glob 'php5.6-curl'
Couldn't find any package by regex 'php5.6-curl'

リポジトリを追加するといいらしいが、参考した環境はdebian10で動いていたので再度OSをアップデートして試した。

the same problem was fixed by adding
to the source list such line
deb https://packages.sury.org/php/ buster main
and after that
sudo apt update
sudo apt install php5.6-curl
参考：https://github.com/oerdnj/deb.sury.org/issues/1249#issuecomment-748468974

Dockerfileに以下を追加

RUN echo "deb https://packages.sury.org/php/ buster main" >> /etc/apt/sources.list.d/php.list

するとパッケージの認証に失敗

Err:4 https://packages.sury.org/php buster InRelease
   The following signatures couldn't be verified because the public key is not available: NO_PUBKEY B188E2B695BD4743
 Reading package lists...
W: GPG error: https://packages.sury.org/php buster InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY B188E2B695BD4743
E: The repository 'https://packages.sury.org/php buster InRelease' is not signed.

gpgキーを取得し直すといいらしいのでwgetで取ってくる

RUN echo "deb https://packages.sury.org/php/ buster main" >> /etc/apt/sources.list.d/php.list \
	&& wget -O /etc/apt/trusted.gpg.d/php.gpg https://packages.sury.org/php/apt.gpg \
	&& apt-get update && apt-get install -y php5.6-curl

Appears fixed after re-downloading the gpg key:
wget -O /etc/apt/trusted.gpg.d/php.gpg https://packages.sury.org/php/apt.gpg
参考：https://github.com/oerdnj/deb.sury.org/issues/1575#issuecomment-801183214

するとeasy.hが入ってること確認できたので、シンボリックリンクを作成したところPHPの設定はできた。
しかしPHPのビルドでエラーが発生。

make: *** [Makefile:521: ext/openssl/openssl.lo] Error 1

PHP5.6でOpenssl1.1に対応する

OSをdebian10にした影響で、Opensslのバージョンが1.1.1nになっていた。
1.1.0で環境構築している例はいくつか見つかったが、1.1.1では見つけることができなかった。。。
・https://github.com/oerdnj/deb.sury.org/issues/566
・https://www.howtoforge.com/community/threads/php-5-6-additional-version-on-debian-9.77460/

Opensslのバージョンを1.1.0にするために再度debian9に戻してphp5.6-curlを入れるための対応を再度行う。

RUN apt-get update && apt-get install -y apt-transport-https
RUN echo "deb https://packages.sury.org/php/ stretch main" >> /etc/apt/sources.list.d/php.list \
	&& wget -O /etc/apt/trusted.gpg.d/php.gpg https://packages.sury.org/php/apt.gpg \
	&& apt-get update && apt-get install -y php5.6-curl \
	&& ln -s /usr/include/x86_64-linux-gnu/curl /usr/local/include/curl

最終的に以下のようにOSとPHPのバージョンを変更してパッチを当てることによって対応した
・debian 9（stretch）
・PHP 5.6.31
・パッチ：https://bugs.php.net/patch-display.php?bug_id=72360&patch=openssl&revision=latest

パッチを当てる方法は以下を参考にした：

download PHP source
cd source folder and patch -p1 < ../patchname
and the normal build process
https://github.com/oerdnj/deb.sury.org/issues/566#issuecomment-330321649

動作確認：

root@949be36c8668:/# openssl version
OpenSSL 1.1.0l  10 Sep 2019

root@949be36c8668:/# php -v
PHP 5.6.31 (cli) (built: Mar 31 2022 09:07:22) 
Copyright (c) 1997-2016 The PHP Group
Zend Engine v2.6.0, Copyright (c) 1998-2016 Zend Technologies

一通り確認したところPHPの動作は問題がなかったが、OSを上げた影響でmysql-clientのバージョンが上がり不具合が発生したので切り戻し。

結論：バージョンのアップデートは影響が大きいので慎重に。