VPN wedi cysylltu ond cynnwys cymysg yn dal i gael ei rwystro: beth i'w drwsio

Mae hanner y dudalen yn cael ei rendro, mae un daflen arddull yn llwyd yn y panel Rhwydwaith, ac mae'r cleient VPN yn dal i adrodd am dwnnel iach. Mae'r tri arsylwad yn wir ar yr un pryd, oherwydd barnodd y porwr gais a wnaeth y dudalen, ac nid oedd gan y twnnel unrhyw lais yn y farn honno. Yr hyn sy'n cau'r achos yw penderfyniad, nid gosodiad: trwsio'r cyfeirnod, ei esgyn at bwy bynnag sy'n berchen ar y gwesteiwr, neu ollwng y ddibyniaeth. Mae gan bob un o'r opsiynau hyn brawf rhad, ac mae dewis yr un anghywir yn llosgi cylch cymorth.

Pam na all y twnnel orchuddio is-adnodd

Mae cynnwys cymysg yn dechrau gyda dogfen HTTPS sy'n gofyn am is-adnodd dros HTTP plaen. Mae pob URL yn cael ei barnu ar ei gynllun ei hun, felly nid yw amddiffyniad y ddogfen riant byth yn ymestyn i gais plentyn. Mae amgryptio a ychwanegir o dan y porwr yn newid yr hyn sy'n teithio ar y gwifren, nid yr http:// y gofynnodd y marcio amdano.

Mae porwyr cyfredol yn didoli'r ceisiadau hyn yn ddau grŵp ac yn eu trin yn wahanol. Mae sgriptiau, taflenni arddull, iframeau a galwadau gyda fetch, XMLHttpRequest neu WebSocket yn cael eu gwrthod yn syth, heb unrhyw gynnig uwchraddio yn gyntaf. Mae delweddau, sain a fideo yn cael eu hailysgrifennu i https:// ac yn cael eu gofyn eto, a chedwir yr llwyth pan fydd y nôl diogel hwnnw'n methu. Mae URL is-adnodd y mae ei westaiwr yn gyfeiriad IP noeth wedi'i eithrio rhag uwchraddio, felly mae delwedd HTTP ar westeiwr IP yn parhau i fod wedi'i rhwystro yn lle cael ei thrwsio'n dawel. Mae'r rhaniad, gan gynnwys yr eithriad hwnnw ar yr ochr uwchraddadwy, wedi'i nodi yng nghanllaw Mozilla ar gynnwys cymysg. Mae Chrome yn cymhwyso gwrthodiad tebyg i lawrlwythiadau anniogel a gychwynnir o dudalen ddiogel, ac felly gall dolen PDF farw tra bo'r dudalen o'i chwmpas yn edrych yn gyfan.

Felly'r rhes lwyd yw'r prawf bod y rheolaeth yn gweithio, nid y prawf bod y twnnel wedi gollwng testun plaen. Triniwch y rhes fel canfyddiad sy'n pwyntio at un cyfeirnod yn unig, nid at y dudalen gyfan.

Penderfynu pwy sy'n berchen ar y cyfeirnod anniogel

Trefnwch yr URL troseddol yn ôl lle y caiff ei gynhyrchu cyn newid unrhyw beth. Mae'r ateb hwnnw'n penderfynu a allwch chi gyflenwi trwsiad heddiw, a oes rhaid i werthwr ryddhau un, neu a oes rhaid i'r ddibyniaeth adael y dudalen. Darllenwch ef yng ngholofn Initiator yn y panel Rhwydwaith, oherwydd mae'r marcio ar y sgrin yn aml yn cael ei ymgynnull ar adeg rhedeg.

Pan fydd y gwesteiwr eisoes yn ateb ar 443 a dim ond y cyfeirnod yn dweud http, mae'r trwsiad yn lleol: newidiwch y cyfeirnod, cliriwch storfa'r dudalen a chadarnhewch fod y rhes yn troi'n https. Ni ellir golygu gwesteiwr sy'n gwrando ar borth 80 yn unig i gydymffurfio, felly mae'r adnodd yn symud, yn cael rhywbeth yr ydych yn ei reoli o'i flaen, neu'n diflannu. Mae URL a bigwyd gan reolwr tagiau yn parhau i ymddangos hyd yn oed pan fo'ch templed eich hun yn lân, ac mae'r achos hwnnw'n perthyn i docyn gyda'r URL union a'r llinell gonsole ynghlwm. Nid yw dweud wrth y staff am ganiatáu cynnwys anniogel yn un o'r opsiynau hyn, oherwydd mae'n diffodd y gwiriad ar gyfer pob safle y mae'r proffil porwr hwnnw'n ymweld ag ef.

Trwsio'r cyfeirnod yn hytrach na gosodiad y porwr

Ail-lwythwch y llif sy'n methu gyda'r log rhwydwaith wedi'i gadw a hidlwch y panel yn ôl y gwesteiwr yr ydych yn ei amau. Mae'r gonsol yn enwi'r URL a'r gyfarwyddeb, sy'n setlo a wrthodwyd cais neu a uwchraddiwyd ef cyn i chi gyffwrdd â thempled.

curl -sSI https://cdn.example.org/vendor.js | head -n 1
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' -L https://cdn.example.org/vendor.js

Mae dau reolaeth ategol yn werth eu gwybod, ac nid oes yr un ohonynt yn disodli'r trwsiad. Mae pennawd Content-Security-Policy gyda upgrade-insecure-requests yn gwneud i'r porwr ailysgrifennu URLau is-adnodd http cyn iddynt adael y dudalen, sy'n dal hen gyfeirnodau nad ydych wedi'u darganfod eto. Mae'r cais a ailysgrifennwyd yn dal i fethu pan nad yw'r gwesteiwr targed yn gweini HTTPS, felly dim ond pa URL y mae'r porwr yn ceisio ei newid y mae'r pennawd yn ei newid. Mae HSTS yn gweithio fesul gwesteiwr, sy'n golygu nad yw polisi ar eich parth eich hun yn gwneud dim i CDN trydydd parti nad anfonodd y pennawd erioed. Ar ôl golygu templed, cliriwch storfa'r dudalen a chwiliwch yr HTML a rendrwyd am yr hen enw gwesteiwr, oherwydd gall yr un URL ddod hefyd drwy rannol, llinyn cyfieithu neu faes cronfa ddata.

Dilynwch ailgyfeiriadau hefyd, oherwydd gall cadwyn sy'n dechrau ar https:// lanio ar leoliad http:// ac mae'r porwr yn barnu'r naid olaf. Mae'r -L ffurf o'r ail orchymyn uchod yn argraffu'r URL effeithiol hwnnw i chi. Os yw'r naid olaf yn http plaen, mae'r cyfeirnod yn dal yn anghywir hyd yn oed os oedd y ddolen a olygwyd gennych yn edrych yn iawn.

Cadarnhau'r dudalen gyda'r gonsol a'r panel rhwydwaith

Ail-lwythwch gyda'r storfa wedi'i hanalluogi a cherddwch y llif eto, gan gynnwys y botymau sy'n llwytho cynnwys ar gais. Mae llwyth cyntaf o dudalen yn cuddio teclynnau diog, teils map a sgriptiau chwaraewr sy'n ymddangos dim ond ar ôl clic. Ni ddylai'r gonsol gynnwys unrhyw gofnodion cynnwys cymysg ac fe ddylai pob rhes y gwnaethoch gyffwrdd â hi ddangos https. Cofnodwch y gonsol a'r rhes gais cyn cau'r tocyn, oherwydd mae'r cyflwr hwnnw'n anodd ei ail-greu ar ôl y defnydd nesaf.

Pan fo'r adnodd yn perthyn i rywun arall, anfonwch bedwar peth: yr URL union, y math o gais, testun y gonsol a'r dudalen lle mae'n ymddangos. Cuddliwch ddynodwyr sesiwn ym mhopeth a ludiwch i docyn. Nid yw adroddiad sy'n dweud yn unig fod delweddau'n torri yn rhoi dim i berchennog chwilio amdano.

Mae'r twnnel yn parhau i wneud ei waith ei hun tra bo'r trwsiad yn byw yn y cyfeirnod a gynhyrchodd y cais. Chwiliwch am yr enw gwesteiwr unwaith eto yn y templed a'r bwndel gwerthwr ar ôl y defnydd, a chaewch yr achos dim ond pan na fydd unrhyw gofnod cynnwys cymysg wedi'i rwystro yn weddill yn y gonsol.