Webwerf wys die verkeerde sertifikaat? Vind die luisteraar

Om VPN-sagteware op 'n webgasheer te installeer kan dienste herrangskik, maar 'n onverwagte sertifikaat bewys nie dat die Apache-lêers herskryf is nie. Iets het daardie sertifikaat aan jou blaaier aangebied, en die eerste taak is om dit te benoem. Totdat die luisteraar en die virtuele gasheer geïdentifiseer is, is elke herstel 'n raaiskoot wat op die verkeerde laag toegepas word. Die hele kontrole hieronder is net-lees.

Niks word herbegin, gedeïnstalleer of oorgeskryf terwyl jy die feite versamel wat die saak beslis nie.

Lees die sertifikaat wat die blaaier werklik gekry het

Teken die gasheernaam, die opgeloste adres vir elke adresfamilie, die poort en die sertifikaatbesonderhede waaroor die blaaier gekla het, aan. 'n Naam wat na beide 'n A- en 'n AAAA-rekord oplos, kan twee verskillende voorpunte bereik, en net een daarvan is dalk die gasheer waartoe jy shell-toegang het. 'n Blaaier agter 'n proxy kan weer 'n derde pad volg. Om te raai watter een die waarskuwing veroorsaak het, mors die enigste waarneming wat jy het.

Reproduseer dan die handskakeling vanaf 'n masjien op dieselfde pad, noem die adres eksplisiet en stuur die bedoelde bedienernaam sodat die antwoord die werf weerspieël eerder as die verstekgasheer.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Vergelyk die vak-alternatiewe name en die vingerafdruk met die sertifikaat wat jy verwag, nie met 'n bekende uitreiker nie. Om aan 'n kaal adres sonder die bedienernaam te koppel, kan 'n versteksertifikaat kies, wat dan soos die verkeerde lêer lyk wanneer dit eintlik die verkeerde vraag is.

Identifiseer die proses wat aan daardie poort gebind is

Op die gasheer wat die verbinding behoort te ontvang, lys die luisteraars en let op die bindadres, die adresfamilie en die proses-eienaar. 'n Diens wat aan die loopback-adres gebind is, is nie dieselfde as een wat aan elke koppelvlak gebind is nie, en 'n houer-publikasie kan die publieke luisteraar heeltemal elders plaas.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

As TLS deur 'n lasbalanseerder of 'n proxy vooraan beëindig word, stop hier en ondersoek eerder daardie voorpunt. Die Apache-instansie daar agter bied dalk nooit 'n sertifikaat aan 'n publieke blaaier nie, so die wysiging van sy konfigurasie verander niks wat die blaaier sien nie. Die socket-aansig en die eksterne handskakeling moet dieselfde pad beskryf, en dit is wat hierdie vergelyking vasstel.

Pas die virtuele gasheer voor die lêer

Wanneer Apache die termineerder is, vra dit watter virtuele gasheer vir daardie adres en naam wen. Die beheerkommando druk die effektiewe uitleg, insluitend die groep wat aan elke socket gekoppel is, die bedienername wat verklaar is en die gasheer wat as verstek behandel word. Die wysiging van 'n sertifikaatlêer sonder daardie antwoord is hoe die verkeerde werf uiteindelik uit 'n korrekte lêer bedien word.

sudo apachectl -S

Die Apache SSL FAQ verduidelik hoe bedienernaam-aanduiding 'n sertifikaat kies. Die HTTP Host-kop kom ná die handskakeling aan en kan nie terugwerkend verander wat reeds aangebied is nie, so 'n onpassende of afwesige naam val terug op die verstekgasheer.

'n Benoemde virtuele gasheer met 'n fout in ServerAlias lewer presies hierdie simptoom, en so ook 'n tweede konfigurasielêer wat eerste 'n vang-alles-gasheer laai. Albei is in daardie uitleglys sigbaar.

Verifieer die herstel op elke pad wat jy beweer

Na 'n goedgekeurde verandering, herhaal die gasheernaam-spesifieke kontrole vir elke adresfamilie en eindig met die blaaier se gewone validering eerder as 'n omseilvlag. Bewaar 'n aparte administrasiepad voordat jy gedeelde luisteraar-instellings aanraak, want 'n fout daar verwyder die toegang wat jy sou gebruik om dit ongedaan te maak. Skryf dan neer watter luisteraar geantwoord het, watter virtuele gasheer gepas het en watter sertifikaat voor en ná die tyd gelewer is.

'n Pakketverwydering kan die uitleg verander en die oorspronklike wanverhouding onverduidelik laat, en daarom oorleef daardie rekord die herstel.

Wat jy wil hê is die beoogde werf by die beoogde toegangspunt. 'n Ander sertifikaat nadat 'n onverwante diens verdwyn het, is nie daardie resultaat nie, selfs wanneer die blaaier ophou kla.