الموقع يعرض الشهادة الخطأ؟ اعثر على المستمع

قد يعيد تثبيت برامج VPN على مضيف ويب ترتيب الخدمات، لكن شهادة غير متوقعة لا تثبت أن ملفات Apache أُعيدت كتابتها. شيء ما قدّم تلك الشهادة إلى متصفحك، والمهمة الأولى هي تسميته. إلى أن يُحدَّد المستمع والمضيف الافتراضي، كل إصلاح تخمين يُطبَّق على الطبقة الخطأ. كل الفحص أدناه للقراءة فقط.

لا يُعاد تشغيل أي شيء ولا إلغاء تثبيته ولا الكتابة فوقه أثناء جمع الحقائق التي تحدد الحالة.

اقرأ الشهادة التي تلقاها المتصفح فعلاً

سجّل اسم المضيف والعنوان الذي حُلّ لكل عائلة والمنفذ وتفاصيل الشهادة التي شكا منها المتصفح. الاسم الذي يُحلّ إلى سجل A وAAAA معًا يمكن أن يصل إلى واجهتين مختلفتين، وقد يكون واحد منهما فقط هو المضيف الذي لديك وصول شل إليه. وقد يسلك متصفح خلف وكيل مسارًا ثالثًا مرة أخرى. التخمين في أيها أنتج التحذير يهدر الملاحظة الوحيدة التي لديك.

ثم أعد إنتاج المصافحة من آلة على المسار نفسه، مع تسمية العنوان صراحة وإرسال اسم الخادم المقصود كي تعكس الإجابة الموقع لا المضيف الافتراضي.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

قارن أسماء الموضوع البديلة والبصمة بالشهادة التي تتوقعها، لا بمُصدر مألوف. الاتصال بعنوان عارٍ دون اسم الخادم قد يختار شهادة افتراضية، فتبدو عندئذ كالملف الخطأ بينما السؤال هو الخطأ في الحقيقة.

حدد العملية المرتبطة بذلك المنفذ

على المضيف الذي يفترض أن يستقبل الاتصال، اسرد المستمعين وسجّل عنوان الارتباط وعائلة العناوين ومالك العملية. الخدمة المرتبطة بعنوان الاسترجاع ليست كالمرتبطة بكل الواجهات، وقد يضع نشر الحاوية المستمع العام في مكان آخر تمامًا.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

إذا كان TLS يُنهى بواسطة موازن حمل أو وكيل أمامه، فتوقف هنا وافحص تلك الواجهة الأمامية بدلاً من ذلك. قد لا يقدّم مثيل Apache خلفه شهادة لمتصفح عام أبدًا، لذا لا يغيّر تحرير إعداده شيئًا مما يراه المتصفح. يجب أن تصف رؤية المقابس والمصافحة الخارجية المسار نفسه، وهذا ما يثبته هذا المقارنة.

طابق المضيف الافتراضي قبل الملف

عندما يكون Apache هو المنهي، اسأله أي مضيف افتراضي يفوز لذلك العنوان والاسم. تطبع أمر التحكم التخطيط الفعلي، بما في ذلك المجموعة المطابقة لكل مقبس وأسماء الخوادم المعلنة والمضيف الذي يُعامل كافتراضي. تحرير ملف شهادة دون تلك الإجابة هو الطريق الذي ينتهي به الموقع الخطأ إلى الخدمة من ملف صحيح.

sudo apachectl -S

الأسئلة الشائعة عن SSL في Apache تشرح كيف يختار تحديد اسم الخادم شهادة. تصل ترويسة Host في HTTP بعد المصافحة ولا يمكنها تغيير ما قُدّم سابقًا بأثر رجعي، لذا يعود الاسم غير المطابق أو الغائب إلى المضيف الافتراضي.

المضيف الافتراضي المسمى بخطأ مطبعي في ServerAlias ينتج هذه العَرَض بالضبط، وكذلك ملف إعداد ثانٍ يحمّل أولاً مضيفًا يلتقط كل شيء. كلاهما ظاهر في قائمة التخطيط تلك.

تحقق من الإصلاح على كل مسار تدّعيه

بعد تغيير معتمد، أعد الفحص الخاص باسم المضيف لكل عائلة عناوين وأنهِ بالتحقق العادي للمتصفح بدلاً من علامة تجاوز. احتفظ بمسار إدارة منفصل قبل لمس إعدادات المستمع المشتركة، لأن خطأ هناك يزيل الوصول الذي كنت ستستخدمه للتراجع. ثم اكتب أي مستمع رد، وأي مضيف افتراضي طابق، وأي شهادة قُدّمت قبل وبعد.

قد تغيّر إزالة حزمة التخطيط وتترك عدم التطابق الأصلي بلا تفسير، ولهذا يتجاوز ذلك السجل الإصلاح.

ما تريده هو الموقع المقصود عند نقطة الدخول المقصودة. الشهادة المختلفة بعد اختفاء خدمة غير ذات صلة ليست تلك النتيجة، حتى عندما يتوقف المتصفح عن الشكوى.