Gwefan yn dangos y dystysgrif anghywir? Darganfyddwch y gwrandäwr

Gall gosod meddalwedd VPN ar westeiwr gwe aildrefnu gwasanaethau, ond nid yw tystysgrif annisgwyl yn profi bod ffeiliau Apache wedi'u hailysgrifennu. Rhoddodd rhywbeth y dystysgrif honno i'ch porwr, a'r dasg gyntaf yw ei henwi. Nes bod y gwrandawr a'r gwesteiwr rhithwir wedi'u nodi, mae pob trwsiad yn ddyfaliad ar y haen anghywir. Mae'r gwiriad cyfan isod yn ddarllen yn unig.

Nid oes unrhyw beth yn cael ei ailddechrau, ei ddadosod na'i drosysgrifennu tra byddwch yn casglu'r ffeithiau sy'n penderfynu'r achos.

Darllenwch y dystysgrif a gafodd y porwr mewn gwirionedd

Cofnodwch yr enw gwesteiwr, y cyfeiriad a ddatryswyd ar gyfer pob teulu, y porth, a manylion y dystysgrif y cwynodd y porwr amdani. Gall enw sy'n datrys i gofnod A ac AAAA gyrraedd dau flaen gwahanol, ac efallai mai dim ond un ohonynt yw'r gwesteiwr sydd â mynediad cragen gennych. Gall porwr y tu ôl i brocsi gymryd trydydd llwybr eto. Mae dyfalu pa un a gynhyrchodd y rhybudd yn gwastraffu'r unig arsylwi sydd gennych.

Yna atgynhyrchwch y cydlawenhau o beiriant ar yr un llwybr, gan enwi'r cyfeiriad yn benodol ac anfon yr enw gweinydd bwriadedig fel bod yr ateb yn adlewyrchu'r safle yn hytrach na'r gwesteiwr diofyn.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Cymharwch yr enwau amgen pwnc a'r ôl bys â'r dystysgrif rydych yn ei disgwyl, nid ag allyrrydd cyfarwydd. Gall cysylltu â chyfeiriad noeth heb enw'r gweinydd ddewis tystysgrif ddiofyn, sydd wedyn yn edrych fel y ffeil anghywir pan mai'r cwestiwn anghywir sydd dan sylw mewn gwirionedd.

Nodwch y broses sydd wedi'i chlymu i'r porth hwnnw

Ar y gwesteiwr a ddylai dderbyn y cysylltiad, rhedwch restr o'r gwrandawyr a nodwch y cyfeiriad clymu, y teulu cyfeiriadau a pherchennog y broses. Nid yw gwasanaeth wedi'i glymu i'r cyfeiriad dolen-gefn yr un fath ag un wedi'i glymu i bob rhyngwyneb, a gall cyhoeddi cynhwysydd osod y gwrandawr cyhoeddus yn hollol rywle arall.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Os yw TLS yn cael ei derfynu gan gludwr llwyth neu brocsi o'ch blaen, stopiwch yma ac archwiliwch y blaen hwnnw yn lle hynny. Mae'n bosibl na fydd yr achos Apache y tu ôl iddo byth yn cyflwyno tystysgrif i borwr cyhoeddus, felly nid yw golygu ei ffurfweddiad yn newid dim y mae'r porwr yn ei weld. Rhaid i'r olwg socedi a'r cydlawenhau allanol ddisgrifio'r un llwybr, a dyna mae'r gymhariaeth hon yn ei sefydlu.

Cydweddwch y gwesteiwr rhithwir cyn y ffeil

Pan Apache yw'r terfynydd, gofynnwch iddo pa westeiwr rhithwir sy'n ennill ar gyfer y cyfeiriad a'r enw hwnnw. Mae'r gorchymyn rheoli yn argraffu'r cynllun effeithiol, gan gynnwys y grŵp sy'n cyfateb i bob soced, yr enwau gweinydd a ddatganwyd, a'r gwesteiwr a drinnir fel diofyn. Golygu ffeil dystysgrif heb yr ateb hwnnw yw sut mae'r safle anghywir yn cael ei weini o ffeil gywir.

sudo apachectl -S

Cwestiynau cyffredin SSL Apache yn esbonio sut mae dynodiad enw gweinydd yn dewis tystysgrif. Mae pennawd Host HTTP yn cyrraedd ar ôl y cydlawenhau ac ni all newid yn ôl-weithredol yr hyn a gyflwynwyd yn barod, felly mae enw heb ei gydweddu neu absennol yn disgyn yn ôl i'r gwesteiwr diofyn.

Mae gwesteiwr rhithwir a enwyd gyda gwall teipio yn ServerAlias yn cynhyrchu'r union symptom hwn, ac felly hefyd ail ffeil ffurfweddu sy'n llwytho gwesteiwr dal-pob-peth yn gyntaf. Mae'r ddau i'w gweld yn y rhestr gynllun honno.

Gwiriwch y cywiriad ar bob llwybr a haerwch

Ar ôl newid a gymeradwywyd, ailadroddwch y gwiriad sy'n benodol i enw gwesteiwr ar gyfer pob teulu cyfeiriad a gorffennwch â dilysiad arferol y porwr yn hytrach na baner osgoi. Cadwch lwybr gweinyddol ar wahân cyn cyffwrdd â gosodiadau gwrandawr a rennir, oherwydd mae camgymeriad yno yn tynnu'r mynediad y byddech yn ei ddefnyddio i'w ddad-wneud. Yna nodwch pa wrandawr a atebodd, pa westeiwr rhithwir a gydweddodd, a pha dystysgrif a weiniwyd cyn ac ar ôl.

Gall tynnu pecyn newid y cynllun a gadael yr anghysondeb gwreiddiol heb ei egluro, a dyna pam mae'r cofnod hwnnw yn para'n hwy na'r trwsiad.

Yr hyn rydych ei eisiau yw'r safle bwriadedig yn y man mynediad bwriadedig. Nid yw tystysgrif wahanol ar ôl i wasanaeth di-gysylltiad ddifannu yn y canlyniad hwnnw, hyd yn oed pan fydd y porwr yn stopio cwyno.