Web ukazuje nesprávný certifikát? Najděte naslouchající proces

Instalace VPN softwaru na webhostingu může přeskupit služby, ale neočekávaný certifikát nedokazuje, že byly soubory Apache přepsány. Něco ten certifikát předložilo vašemu prohlížeči a prvním úkolem je to pojmenovat. Dokud se proces naslouchající na portu a virtuální hostitel neurčí, je každá oprava odhadem aplikovaným na špatnou vrstvu. Celá kontrola níže je pouze ke čtení.

Nic se nerestartuje, neodinstalovává ani nepřepisuje, dokud shromažďujete fakta, která případ rozhodnou.

Přečtěte certifikát, který prohlížeč skutečně dostal

Zapište název hostitele, přeloženou adresu pro každou rodinu, port a podrobnosti certifikátu, na které si prohlížeč stěžoval. Název, který se překládá na záznam A i AAAA, může dosáhnout dvou různých čelních konců a jen jeden z nich může být hostitel, na který máte shellový přístup. Prohlížeč za proxy může jít znovu třetí cestou. Hádání, který z nich varování způsobil, plýtvá jediným pozorováním, které máte.

Potom zopakujte handshake ze stroje na stejné cestě, výslovně uveďte adresu a pošlete zamýšlený název serveru, aby odpověď odrážela stránku, nikoli výchozího hostitele.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Porovnejte alternativní jména subjektu a otisk s certifikátem, který očekáváte, ne se známým vydavatelem. Připojení k holé adrese bez názvu serveru může vybrat výchozí certifikát, který pak vypadá jako špatný soubor, když je ve skutečnosti špatná otázka.

Určete proces vázaný na tento port

Na hostiteli, který má spojení přijmout, vypište naslouchající procesy a poznamenejte bind adresu, rodinu adres a vlastníka procesu. Služba vázaná na adresu loopback není totéž jako služba vázaná na všechna rozhraní a publikování kontejneru může veřejný naslouchající proces umístit zcela jinam.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Pokud TLS ukončuje vyrovnávací prvek zátěže nebo proxy vpředu, zastavte se zde a prozkoumejte místo toho tento čelní konec. Instance Apache za ním nemusí nikdy veřejnému prohlížeči předložit certifikát, takže úprava její konfigurace nemění nic, co prohlížeč vidí. Pohled na sockety a vnější handshake musí popisovat stejnou cestu a toto srovnání právě to zjišťuje.

Slaďte virtuálního hostitele dřív než soubor

Když je Apache ukončovacím prvkem, zeptejte se ho, který virtuální hostitel pro tuto adresu a název vyhrává. Řídicí příkaz vypíše efektivní rozvržení včetně skupiny přiřazené každému socketu, deklarovaných názvů serverů a hostitele, který se považuje za výchozí. Úprava souboru certifikátu bez této odpovědi je způsob, jak se nesprávná stránka začne obsluhovat ze správného souboru.

sudo apachectl -S

Časté dotazy k SSL v Apache vysvětlují, jak indikace názvu serveru vybírá certifikát. Záhlaví Host protokolu HTTP přichází po handshake a nemůže zpětně změnit to, co už bylo předloženo, takže neodpovídající nebo chybějící název padá na výchozího hostitele.

Virtuální hostitel s překlepem v ServerAlias vytváří přesně tento příznak a totéž dělá druhý konfigurační soubor, který jako první načte hostitele zachycujícího vše. Oba jsou v tomto výpisu rozvržení vidět.

Ověřte opravu na každé cestě, kterou tvrdíte

Po schválené změně zopakujte kontrolu specifickou pro název hostitele pro každou rodinu adres a skončete běžnou validací prohlížeče, nikoli přepínačem pro obcházení. Před zásahem do sdíleného nastavení naslouchajících procesů si zachovejte samostatnou administrační cestu, protože chyba tam odstraní přístup, který byste použili k vrácení změny. Potom zapište, který proces odpověděl, který virtuální hostitel odpovídal a který certifikát byl poskytnut před změnou a po ní.

Odstranění balíčku může změnit rozvržení a původní nesoulad ponechat nevysvětlený, a proto tento záznam přežije opravu.

Chcete zamýšlenou stránku na zamýšleném vstupním bodě. Jiný certifikát poté, co zmizela nesouvisející služba, není tímto výsledkem, ani když si prohlížeč přestane stěžovat.