Webstedet viser det forkerte certifikat? Find lytteren

Installation af VPN-software på en webhost kan omorganisere tjenester, men et uventet certifikat beviser ikke, at Apache-filerne er blevet overskrevet. Noget præsenterede det certifikat for din browser, og den første opgave er at navngive det. Indtil lytteren og den virtuelle vært er identificeret, er enhver reparation et gæt anvendt på det forkerte lag. Hele kontrollen nedenfor er skrivebeskyttet.

Intet genstartes, afinstalleres eller overskrives, mens du indsamler de fakta, der afgør sagen.

Læs det certifikat, browseren faktisk fik

Noter værtsnavnet, den opløste adresse for hver familie, porten og de certifikatdetaljer, som browseren klagede over. Et navn, der opløses til både en A- og en AAAA-post, kan nå to forskellige frontender, og kun én af dem er måske den vært, du har shell-adgang til. En browser bag en proxy kan tage en tredje vej igen. At gætte på, hvilken der gav advarslen, spilder den eneste observation, du har.

Gengiv derefter håndtrykket fra en maskine på samme vej, navngiv adressen eksplicit, og send det tilsigtede servernavn, så svaret afspejler webstedet frem for standardværten.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Sammenlign de alternative subjektnavne og fingeraftrykket med det certifikat, du forventer, og ikke med en velkendt udsteder. Tilslutning til en bar adresse uden servernavnet kan vælge et standardcertifikat, som derefter ser ud som den forkerte fil, når det i virkeligheden er det forkerte spørgsmål.

Identificer den proces, der er bundet til den port

På den vært, der skal modtage forbindelsen, skal du liste lytterne og notere bind-adressen, adressefamilien og procesejeren. En tjeneste bundet til loopback-adressen er ikke det samme som en bundet til alle grænseflader, og en containerudgivelse kan placere den offentlige lytter helt andre steder.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Hvis TLS afsluttes af en load balancer eller en proxy foran, skal du stoppe her og undersøge den front i stedet. Apache-instansen bag den præsenterer måske aldrig et certifikat for en offentlig browser, så redigering af dens konfiguration ændrer intet af det, browseren ser. Socket-visningen og det eksterne håndtryk skal beskrive samme vej, og det er det, denne sammenligning fastslår.

Match den virtuelle vært før filen

Når Apache er terminator, skal du spørge den, hvilken virtuel vært der vinder for den adresse og det navn. Styrekommandoen udskriver det effektive layout, inklusive gruppen, der matcher hver socket, de erklærede servernavne og den vært, der behandles som standard. At redigere en certifikatfil uden det svar er, hvordan det forkerte websted ender med at blive betjent fra en korrekt fil.

sudo apachectl -S

Apache SSL FAQ forklarer, hvordan server name indication vælger et certifikat. HTTP Host-headeren ankommer efter håndtrykket og kan ikke efterfølgende ændre det, der allerede er præsenteret, så et navn uden match eller et manglende navn falder tilbage til standardværten.

En navngivet virtuel vært med en tastefejl i ServerAlias giver præcis dette symptom, og det gør en anden konfigurationsfil, der indlæser en catch-all-vært først, også. Begge er synlige i den layout-oversigt.

Bekræft rettelsen på hver vej, du påstår

Efter en godkendt ændring skal du gentage den værtsnavnsspecifikke kontrol for hver adressefamilie og afslutte med browserens almindelige validering i stedet for et omgåelsesflag. Bevar en separat administrationsvej, før du rører ved delte lytterindstillinger, fordi en fejl der fjerner den adgang, du ville bruge til at fortryde den. Skriv derefter ned, hvilken lytter der svarede, hvilken virtuel vært der matchede, og hvilket certifikat der blev leveret før og efter.

Fjernelse af en pakke kan ændre layoutet og efterlade den oprindelige uoverensstemmelse uforklaret, og derfor overlever den registrering reparationen.

Det, du vil have, er det tilsigtede websted på det tilsigtede indgangspunkt. Et andet certifikat, efter at en urelateret tjeneste er forsvundet, er ikke det resultat, selv når browseren holder op med at klage.