BTCPay Server中Lightning Address无法接收支付问题的排查与解决

问题背景

在使用BTCPay Server时，用户配置了Lightning Address（如[e-mail]）后发现无法接收支付。多个钱包客户端（如stacker.news、speed wallet和primal）都报告了"无法获取Lightning Address元数据"的错误。

初步排查

通过检查发现，Lightning Address的端点（/.well-known/lnurlp/cjams）可以正常访问，且返回的数据看起来是正确的。这表明BTCPay Server本身的LNURL功能是正常工作的。

深入分析

进一步测试发现，虽然Amethyst钱包可以成功发送支付，但其他钱包（如Alby、Coinbase、Speed Wallet等）都失败了。查看Nginx日志发现，只有Amethyst发送了GET请求，而其他钱包甚至没有发起请求。

通过openssl工具检查SSL证书链时发现：

depth=0 CN = btcpay.cjams.net
verify error:num=20:unable to get local issuer certificate

这表明SSL证书链不完整，客户端无法验证服务器证书的有效性。

根本原因

问题出在Nginx的SSL配置上。当前配置使用的是：

ssl_certificate /etc/letsencrypt/live/domain/cert.pem;

这仅包含了站点证书，而没有包含完整的证书链。正确的做法应该是使用fullchain.pem，它包含了站点证书和中间CA证书。

解决方案

将Nginx配置中的ssl_certificate改为使用fullchain.pem：

ssl_certificate /etc/letsencrypt/live/domain/fullchain.pem;

修改后，openssl验证显示完整的证书链：

depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1
depth=1 C = US, O = Let's Encrypt, CN = E5
depth=0 CN = btcpay.cjams.net

技术原理

SSL/TLS握手过程中，服务器需要提供完整的证书链，使客户端能够验证服务器证书的有效性。如果只提供站点证书，客户端可能无法找到中间CA证书，导致验证失败。

Let's Encrypt的证书结构中：

• cert.pem：仅包含站点证书
• fullchain.pem：包含站点证书和中间CA证书
• chain.pem：仅包含中间CA证书

使用fullchain.pem可以确保所有必要的证书信息都被提供给客户端。

最佳实践建议

1. 对于所有使用Let's Encrypt证书的Nginx配置，都应使用fullchain.pem作为ssl_certificate
2. 定期使用openssl s_client命令检查证书链是否完整
3. 对于BTCPay Server部署，确保所有相关的SSL配置都遵循这一原则
4. 在修改SSL配置后，使用多种钱包客户端进行测试，确保兼容性

总结

这个问题展示了SSL/TLS配置对应用程序功能的重要影响。即使应用程序本身工作正常，基础设施层的配置问题也可能导致功能异常。通过系统地排查和验证证书链，我们能够解决Lightning Address无法接收支付的问题。这也提醒我们在部署加密服务时，需要全面考虑各个层面的配置细节。