Сайт паказвае не той сертыфікат? Знайдзіце слухача

Усталяванне VPN-праграм на вэб-хосце можа пераўпарадкаваць службы, але нечаканы сертыфікат не даказвае, што файлы Apache былі перазапісаны. Нешта прадставіла гэты сертыфікат вашаму браўзеру, і першая задача — назваць яго. Пакуль слухач і віртуальны хост не вызначаны, кожнае выпраўленне — здагадка, ужытая не да таго ўзроўню. Уся праверка ніжэй — толькі для чытання.

Нішто не перазапускаецца, не выдаляецца і не перазапісваецца, пакуль вы збіраеце факты, якія вырашаюць справу.

Прачытайце сертыфікат, які браўзер сапраўды атрымаў

Запішыце імя хоста, развязаны адрас для кожнай сям'і, порт і падрабязнасці сертыфіката, на якія скардзіўся браўзер. Імя, якое развязваецца і ў запіс A, і ў AAAA, можа дасягнуць двух розных франтоў, і толькі адзін з іх можа быць хостам, да якога ў вас ёсць доступ праз абалонку. Браўзер за проксі можа зноў выбраць трэці шлях. Здагадка, які з іх стварыў папярэджанне, марнуе адзінае назіранне, якое ў вас ёсць.

Затым узнавіце рукапоціск з машыны на тым жа шляху, відавочна назваўшы адрас і адправіўшы меркаванае імя сервера, каб адказ адлюстроўваў сайт, а не прадвызначаны хост.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Параўнайце альтэрнатыўныя імёны суб'екта і адбітак з сертыфікатам, якога чакаеце, а не з вядомым выдаўцом. Падключэнне да голага адраса без імені сервера можа выбраць прадвызначаны сертыфікат, які потым выглядае як няправільны файл, калі насамрэч пытанне няправільнае.

Вызначце працэс, прывязаны да гэтага порта

На хосце, які павінен прыняць злучэнне, пералічыце слухачоў і адзначце адрас прывязкі, сям'ю адрасоў і ўладальніка працэсу. Служба, прывязаная да адраса вяртальных сувязяў, не тое самае, што прывязаная да ўсіх інтэрфейсаў, а публікацыя кантэйнера можа змясціць публічнага слухача зусім у іншым месцы.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Калі TLS завяршае балансіроўшчык нагрузкі або праксі спераду, спыніцеся тут і агледзіце менавіта гэты фронт. Асобнік Apache за ім можа ніколі не паказаць сертыфікат публічнаму браўзеру, таму рэдагаванне яго канфігурацыі нічога не змяняе ў тым, што бачыць браўзер. Прагляд сокетаў і знешні рукапоціск павінны апісваць адзін і той жа шлях, і менавіта гэта ўсталёўвае гэта параўнанне.

Супастаўце віртуальны хост раней за файл

Калі Apache з'яўляецца завяршальнікам, спытайце ў яго, які віртуальны хост перамагае для гэтага адраса і імя. Кіравальная каманда друкуе эфектыўную разкладку, уключаючы групу, якая адпавядае кожнаму сокету, абвешчаныя імёны сервераў і хост, які лічыцца прадвызначаным. Рэдагаванне файла сертыфіката без гэтага адказу — гэта тое, як няправільны сайт пачынае абслугоўвацца з правільнага файла.

sudo apachectl -S

Пытанні і адказы па SSL у Apache тлумачаць, як указанне імя сервера выбірае сертыфікат. Загаловак Host пратакола HTTP прыходзіць пасля рукапоціску і не можа заднім чыслом змяніць тое, што ўжо было прадстаўлена, таму неадпаведнае або адсутнае імя вяртаецца да прадвызначанага хоста.

Названы віртуальны хост з памылкай у ServerAlias стварае менавіта гэты сімптом, як і другі файл канфігурацыі, які першым загружае хост, што ловіць усё. Абодва бачныя ў гэтым спісе разкладкі.

Праверце выпраўленне на кожным заяўленым шляху

Пасля зацверджанага змянення паўтарыце праверку, спецыфічную для імя хоста, для кожнай сям'і адрасоў і скончыце звычайнай праверкай браўзера замест сцяга абыходу. Захавайце асобны шлях адміністравання, перш чым кранаць агульныя налады слухача, бо памылка там выдаляе доступ, які вы б выкарысталі, каб яго адмяніць. Затым запішыце, які слухач адказаў, які віртуальны хост супаў і які сертыфікат быў аддадзены да і пасля.

Выдаленне пакета можа змяніць разкладку і пакінуць першапачатковую неадпаведнасць без тлумачэння, таму гэты запіс жыве даўжэй за выпраўленне.

Вы хочаце бачыць патрэбны сайт у патрэбнай кропцы ўваходу. Іншы сертыфікат пасля знікнення незвязанай службы — не той вынік, нават калі браўзер перастае скардзіцца.