为了让像我这样尝试在访问AWS CloudFront时遵循这里的好建议但失败的人受益，诀窍是添加-servername domain.name…

来源:https://serverfault.com/a/780450/8972

从远程服务器以PEM格式提取证书的一行程序，这次使用sed:

openssl s_client -connect www.google.com:443 2>/dev/null </dev/null |  sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

HOST=gmail-pop.l.google.com
PORT=995

openssl s_client -servername $HOST -connect $HOST:$PORT < /dev/null 2>/dev/null | openssl x509 -outform pem

与SNI

如果远程服务器使用SNI(即在一个IP地址上共享多个SSL主机)，则需要发送正确的主机名以获得正确的证书。

openssl s_client -showcerts -servername www.example.com -connect www.example.com:443 </dev/null

没有SNI

如果远程服务器没有使用SNI，那么你可以跳过-servername parameter:

openssl s_client -showcerts -connect www.example.com:443 </dev/null

要查看站点证书的完整细节，您也可以使用以下命令链:

$ echo | \
    openssl s_client -servername www.example.com -connect www.example.com:443 2>/dev/null | \
    openssl x509 -text

事实证明这里有更多的复杂性:我需要提供更多的细节来启动它。我认为这与这是一个需要客户端身份验证的连接有关，而握手需要更多的信息才能继续到转储证书的阶段。

下面是我的工作命令:

openssl s_client -connect host:port -key our_private_key.pem -showcerts \
                 -cert our_server-signed_cert.pem

希望这对那些需要更多信息的人来说是一个正确的方向。

最简单的命令行包括PEM输出，将其添加到密钥库中，以及人类可读的输出，还支持SNI，如果您使用HTTP服务器，这很重要:

openssl s_client -servername example.com -connect example.com:443 \
    </dev/null 2>/dev/null | openssl x509 -text

-servername选项用于启用SNI支持，openssl x509 -text以人类可读的格式打印证书。