La retejo montras la malĝustan atestilon? Trovu la aŭskultanton

Instali VPN-programaron sur retgastiganto povas reordigi servojn, sed neatendita atestilo ne pruvas, ke la dosieroj de Apache estis reskribitaj. Io prezentis tiun atestilon al via foliumilo, kaj la unua tasko estas nomi ĝin. Ĝis la aŭskultanto kaj la virtuala gastiganto estas identigitaj, ĉiu riparo estas konjekto aplikata al la malĝusta tavolo. La tuta kontrolo sube estas nurlegebla.

Nenio estas restartigita, malinstalita aŭ superskribita dum vi kolektas la faktojn, kiuj decidas la kazon.

Legu la atestilon, kiun la foliumilo efektive ricevis

Notu la gastigantan nomon, la solvitan adreson por ĉiu familio, la pordon kaj la atestildetalojn, pri kiuj la foliumilo plendis. Nomo, kiu solviĝas al kaj A kaj AAAA rikordo, povas atingi du malsamajn frontojn, kaj nur unu el ili eble estas la gastiganto, al kiu vi havas ŝelan aliron. Foliumilo malantaŭ prokurilo povas denove preni trian vojon. Konjekti, kiu el ili produktis la averton, malŝparas la solan observon, kiun vi havas.

Poste reproduktu la manpremon de maŝino sur la sama vojo, eksplicite nomante la adreson kaj sendante la celitan servilan nomon, por ke la respondo spegulu la retejon anstataŭ la defaŭltan gastiganton.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Komparu la alternativajn subjektajn nomojn kaj la fingrospuron kun la atestilo, kiun vi atendas, ne kun konata eldoninto. Konekti al nuda adreso sen la servila nomo povas elekti defaŭltan atestilon, kiu tiam aspektas kiel la malĝusta dosiero, kiam ĝi fakte estas la malĝusta demando.

Identigu la procezon ligitan al tiu pordo

Sur la gastiganto, kiu devas ricevi la konekton, listigu la aŭskultantojn kaj notu la bind-adreson, la adresan familion kaj la procezan posedanton. Servo ligita al la bukla adreso ne samas kiel unu ligita al ĉiu interfaco, kaj uja publikigo povas meti la publikan aŭskultanton tute aliloke.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Se TLS estas finita de ŝarĝbalancilo aŭ prokurilo antaŭe, haltu ĉi tie kaj anstataŭe inspektu tiun fronton. La Apache-institucio malantaŭ ĝi eble neniam prezentas atestilon al publika foliumilo, do redakti ĝian agordon ŝanĝas nenion, kion la foliumilo vidas. La inga vido kaj la ekstera manpremo devas priskribi la saman vojon, kaj tion establas ĉi tiu komparo.

Kongruigu la virtualan gastiganton antaŭ la dosiero

Kiam Apache estas la finanto, demandu ĝin, kiu virtuala gastiganto venkas por tiu adreso kaj nomo. La kontrola komando presas la efektivan aranĝon, inkluzive la grupon kongruan al ĉiu ingo, la deklaritajn servilnomojn kaj la gastiganton traktatan kiel defaŭlta. Redakti atestildosieron sen tiu respondo estas kiel la malĝusta retejo finiĝas estante servata el ĝusta dosiero.

sudo apachectl -S

La Apache SSL-FAQ klarigas, kiel servilnoma indiko elektas atestilon. La HTTP Host-kapo alvenas post la manpremo kaj ne povas retroaktive ŝanĝi tion, kio jam estis prezentita, do nekoincida aŭ mankanta nomo falas reen al la defaŭlta gastiganto.

Nomita virtuala gastiganto kun tajperaro en ServerAlias produktas ĝuste ĉi tiun simptomon, kaj same dua agorda dosiero, kiu unue ŝarĝas gastiganton kaptantan ĉion. Ambaŭ videblas en tiu aranĝa listo.

Kontrolu la riparon sur ĉiu vojo, kiun vi asertas

Post aprobita ŝanĝo, ripetu la gastignoman kontrolon por ĉiu adresa familio kaj finu per la ordinara validigo de la foliumilo anstataŭ per preterira flago. Konservu apartan administran vojon antaŭ ol tuŝi komunajn aŭskultantajn agordojn, ĉar eraro tie forigas la aliron, kiun vi uzus por malfari ĝin. Poste notu, kiu aŭskultanto respondis, kiu virtuala gastiganto kongruis kaj kiu atestilo estis servata antaŭe kaj poste.

Forigo de pako povas ŝanĝi la aranĝon kaj lasi la originan malkongruon neklarigita, kio estas kial tiu registro supervivas la riparon.

Tio, kion vi volas, estas la celita retejo ĉe la celita enirpunkto. Malsama atestilo post kiam senrilata servo malaperis ne estas tiu rezulto, eĉ kiam la foliumilo ĉesas plendi.