Ο ιστότοπος εμφανίζει λάθος πιστοποιητικό; Βρείτε τον ακροατή

Η εγκατάσταση λογισμικού VPN σε έναν κεντρικό υπολογιστή ιστού μπορεί να αναδιατάξει υπηρεσίες, αλλά ένα απροσδόκητο πιστοποιητικό δεν αποδεικνύει ότι τα αρχεία του Apache ξαναγράφτηκαν. Κάτι παρουσίασε αυτό το πιστοποιητικό στο πρόγραμμα περιήγησής σας, και το πρώτο καθήκον είναι να το ονομάσετε. Μέχρι να προσδιοριστούν ο ακροατής και ο εικονικός διακομιστής, κάθε επισκευή είναι μια εικασία που εφαρμόζεται στο λάθος επίπεδο. Ολόκληρος ο έλεγχος παρακάτω είναι μόνο για ανάγνωση.

Τίποτα δεν επανεκκινείται, απεγκαθίσταται ή αντικαθίσταται όσο συγκεντρώνετε τα γεγονότα που κρίνουν την υπόθεση.

Διαβάστε το πιστοποιητικό που έλαβε πραγματικά το πρόγραμμα περιήγησης

Καταγράψτε το όνομα κεντρικού υπολογιστή, τη διεύθυνση που επιλύθηκε για κάθε οικογένεια, τη θύρα και τις λεπτομέρειες του πιστοποιητικού για τις οποίες παραπονέθηκε το πρόγραμμα περιήγησης. Ένα όνομα που επιλύεται τόσο σε εγγραφή A όσο και σε AAAA μπορεί να φτάσει σε δύο διαφορετικά μπροστινά άκρα, και μόνο ένα από αυτά μπορεί να είναι ο κεντρικός υπολογιστής στον οποίο έχετε πρόσβαση κελύφους. Ένα πρόγραμμα περιήγησης πίσω από διαμεσολαβητή μπορεί να ακολουθήσει ξανά ένα τρίτο μονοπάτι. Το να μαντεύετε ποιο από αυτά παρήγαγε την προειδοποίηση σπαταλά την μόνη παρατήρηση που έχετε.

Στη συνέχεια αναπαράγετε τη χειραψία από ένα μηχάνημα στο ίδιο μονοπάτι, ονομάζοντας ρητά τη διεύθυνση και στέλνοντας το επιδιωκόμενο όνομα διακομιστή ώστε η απάντηση να αντικατοπτρίζει τον ιστότοπο και όχι τον προεπιλεγμένο κεντρικό υπολογιστή.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Συγκρίνετε τα εναλλακτικά ονόματα υποκειμένου και το αποτύπωμα με το πιστοποιητικό που περιμένετε, όχι με έναν οικείο εκδότη. Η σύνδεση σε μια γυμνή διεύθυνση χωρίς το όνομα διακομιστή μπορεί να επιλέξει ένα προεπιλεγμένο πιστοποιητικό, το οποίο τότε μοιάζει με το λάθος αρχείο ενώ στην πραγματικότητα είναι η λάθος ερώτηση.

Προσδιορίστε τη διεργασία που είναι δεσμευμένη σε αυτή τη θύρα

Στον κεντρικό υπολογιστή που πρέπει να δεχθεί τη σύνδεση, καταγράψτε τους ακροατές και σημειώστε τη διεύθυνση δέσμευσης, την οικογένεια διευθύνσεων και τον ιδιοκτήτη της διεργασίας. Μια υπηρεσία δεσμευμένη στη διεύθυνση βρόχου δεν είναι το ίδιο με μια δεσμευμένη σε κάθε διεπαφή, και μια δημοσίευση κοντέινερ μπορεί να τοποθετήσει τον δημόσιο ακροατή εντελώς αλλού.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Αν το TLS τερματίζεται από εξισορροπητή φορτίου ή διαμεσολαβητή μπροστά, σταματήστε εδώ και εξετάστε αντ' αυτού εκείνο το μπροστινό άκρο. Η παρουσία του Apache πίσω του μπορεί να μην παρουσιάσει ποτέ πιστοποιητικό σε δημόσιο πρόγραμμα περιήγησης, οπότε η επεξεργασία της διαμόρφωσής της δεν αλλάζει τίποτα από όσα βλέπει το πρόγραμμα περιήγησης. Η όψη των υποδοχέων και η εξωτερική χειραψία πρέπει να περιγράφουν το ίδιο μονοπάτι, και αυτό ακριβώς διαπιστώνει αυτή η σύγκριση.

Αντιστοιχίστε τον εικονικό διακομιστή πριν από το αρχείο

Όταν ο Apache είναι ο τερματιστής, ρωτήστε τον ποιος εικονικός διακομιστής κερδίζει για αυτή τη διεύθυνση και το όνομα. Η εντολή ελέγχου εκτυπώνει την πραγματική διάταξη, συμπεριλαμβανομένης της ομάδας που αντιστοιχεί σε κάθε υποδοχέα, των δηλωμένων ονομάτων διακομιστή και του κεντρικού υπολογιστή που θεωρείται προεπιλεγμένος. Η επεξεργασία ενός αρχείου πιστοποιητικού χωρίς αυτή την απάντηση είναι ο τρόπος με τον οποίο ο λάθος ιστότοπος καταλήγει να σερβίρεται από ένα σωστό αρχείο.

sudo apachectl -S

Οι συχνές ερωτήσεις SSL του Apache εξηγούν πώς η ένδειξη ονόματος διακομιστή επιλέγει πιστοποιητικό. Η κεφαλίδα Host του HTTP φτάνει μετά τη χειραψία και δεν μπορεί να αλλάξει αναδρομικά ό,τι έχει ήδη παρουσιαστεί, οπότε ένα όνομα που δεν ταιριάζει ή λείπει πέφτει στον προεπιλεγμένο κεντρικό υπολογιστή.

Ένας ονομαστικός εικονικός διακομιστής με τυπογραφικό λάθος στο ServerAlias παράγει ακριβώς αυτό το σύμπτωμα, όπως και ένα δεύτερο αρχείο διαμόρφωσης που φορτώνει πρώτο έναν κεντρικό υπολογιστή που πιάνει τα πάντα. Και τα δύο φαίνονται σε αυτή τη λίστα διάταξης.

Επαληθεύστε τη διόρθωση σε κάθε μονοπάτι που ισχυρίζεστε

Μετά από μια εγκεκριμένη αλλαγή, επαναλάβετε τον έλεγχο που αφορά το όνομα κεντρικού υπολογιστή για κάθε οικογένεια διευθύνσεων και ολοκληρώστε με τη συνηθισμένη επικύρωση του προγράμματος περιήγησης αντί για σημαία παράκαμψης. Διατηρήστε ξεχωριστό μονοπάτι διαχείρισης πριν αγγίξετε κοινές ρυθμίσεις ακροατή, γιατί ένα λάθος εκεί αφαιρεί την πρόσβαση που θα χρησιμοποιούσατε για να το αναιρέσετε. Στη συνέχεια σημειώστε ποιος ακροατής απάντησε, ποιος εικονικός διακομιστής ταιρίαξε και ποιο πιστοποιητικό σερβιρίστηκε πριν και μετά.

Η αφαίρεση ενός πακέτου μπορεί να αλλάξει τη διάταξη και να αφήσει ανεξήγητη την αρχική αναντιστοιχία, γι' αυτό αυτό το αρχείο ζει περισσότερο από την επισκευή.

Αυτό που θέλετε είναι ο επιδιωκόμενος ιστότοπος στο επιδιωκόμενο σημείο εισόδου. Ένα διαφορετικό πιστοποιητικό αφού εξαφανίστηκε μια άσχετη υπηρεσία δεν είναι αυτό το αποτέλεσμα, ακόμη και όταν το πρόγραμμα περιήγησης σταματήσει να παραπονιέται.