Сайтът показва грешен сертификат? Намерете слушателя

Инсталирането на VPN софтуер на уеб хост може да пренареди услугите, но неочакван сертификат не доказва, че файловете на Apache са презаписани. Нещо представи този сертификат на браузъра ви, и първата задача е да го назовете. Докато слушателят и виртуалният хост не бъдат определени, всяко поправяне е предположение, приложено към грешния слой. Цялата проверка по-долу е само за четене.

Нищо не се рестартира, деинсталира или презаписва, докато събирате фактите, които решават случая.

Прочетете сертификата, който браузърът действително получи

Запишете името на хоста, разрешения адрес за всяко семейство, порта и подробностите за сертификата, за които браузърът се оплака. Име, което се разрешава както до A, така и до AAAA запис, може да достигне до два различни фронта, и само един от тях може да е хостът, до който имате достъп през обвивка. Браузър зад прокси може отново да поеме по трети път. Да гадаете кой от тях е създал предупреждението прахосва единственото наблюдение, което имате.

След това възпроизведете ръкостискането от машина на същия път, като назовете адреса изрично и изпратите предвиденото име на сървъра, за да отразява отговорът сайта, а не подразбиращия се хост.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Сравнете алтернативните имена на субекта и отпечатъка с сертификата, който очаквате, а не с познат издател. Свързването с гол адрес без името на сървъра може да избере сертификат по подразбиране, който после изглежда като грешния файл, когато всъщност въпросът е грешен.

Определете процеса, обвързан с тази порта

На хоста, който трябва да получи връзката, избройте слушателите и отбележете адреса на свързване, семейството адреси и собственика на процеса. Услуга, обвързана с адреса на обратната връзка, не е същото като обвързана с всички интерфейси, а публикуване на контейнер може да постави публичния слушател съвсем другаде.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Ако TLS се прекратява от балансьор на натоварването или прокси отпред, спрете тук и инспектирайте вместо това онзи фронт. Инстанцията на Apache зад него може никога да не представи сертификат на публичен браузър, така че редактирането на конфигурацията ѝ не променя нищо от това, което браузърът вижда. Изгледът на сокетите и външното ръкостискане трябва да описват един и същ път, и точно това установява това сравнение.

Съпоставете виртуалния хост преди файла

Когато Apache е прекратяващият, попитайте го кой виртуален хост печели за този адрес и име. Командата за управление отпечатва ефективното оформление, включително групата, съответстваща на всеки сокет, декларираните имена на сървъри и хоста, който се третира като подразбиращ се. Редактирането на файл на сертификат без този отговор е начинът, по който грешният сайт започва да се обслужва от правилен файл.

sudo apachectl -S

Често задавани въпроси за SSL в Apache обясняват как указанието за име на сървър избира сертификат. Заглавката Host на HTTP пристига след ръкостискането и не може да промени обратно във времето това, което вече е представено, така че несъответстващо или липсващо име се връща към подразбиращия се хост.

Именуван виртуален хост с печатна грешка в ServerAlias създава точно този симптом, както и втори конфигурационен файл, който първо зарежда хост, прихващащ всичко. И двете се виждат в това оформление.

Проверете поправката по всеки заявен път

След одобрена промяна повторете проверката, специфична за името на хоста, за всяко семейство адреси и завършете с обичайното валидиране на браузъра вместо с флаг за заобикаляне. Запазете отделен административен път, преди да пипате споделените настройки на слушателя, защото грешка там премахва достъпа, който бихте използвали, за да я отмените. След това запишете кой слушател е отговорил, кой виртуален хост е съвпаднал и кой сертификат е бил сервиран преди и след това.

Премахването на пакет може да промени оформлението и да остави първоначалното несъответствие необяснено, поради което този запис надживява поправката.

Това, което искате, е предвиденият сайт в предвидената входна точка. Различен сертификат, след като несвързана услуга е изчезнала, не е този резултат, дори когато браузърът спре да се оплаква.