Verkkosivusto näyttää väärän varmenteen? Etsi kuuntelija

VPN-ohjelmiston asentaminen verkkopalvelimelle voi järjestää palveluja uudelleen, mutta odottamaton varmenne ei todista, että Apache-tiedostot kirjoitettiin uudelleen. Jokin esitti tuon varmenteen selaimellesi, ja ensimmäinen tehtävä on nimetä se. Kunnes kuuntelija ja virtuaalihosti on tunnistettu, jokainen korjaus on väärälle kerrokselle sovellettu arvaus. Koko alla oleva tarkistus on vain lukemista varten.

Mitään ei käynnistetä uudelleen, poisteta tai kirjoiteta päälle, kun keräät tapauksen ratkaisevat tosiasiat.

Lue varmenne, jonka selain todella sai

Kirjaa isäntänimi, kullekin osoiteperheelle ratkaistu osoite, portti ja varmenteen tiedot, joista selain valitti. Nimi, joka ratkeaa sekä A- että AAAA-tietueeseen, voi tavoittaa kaksi eri etupäätä, ja vain toinen niistä voi olla isäntä, johon sinulla on komentotulkkiyhteys. Välityspalvelimen takana oleva selain voi valita jälleen kolmannen reitin. Arvaaminen, mikä niistä tuotti varoituksen, tuhlaa ainoan havainnon, joka sinulla on.

Toista sitten kättely samalla polulla olevalta koneelta, nimeä osoite nimenomaisesti ja lähetä aiottu palvelinnimi, jotta vastaus heijastaa sivustoa eikä oletusisäntää.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Vertaa vaihtoehtoisia kohteen nimiä ja sormenjälkeä varmenteeseen, jota odotat, älä tuttuun myöntäjään. Yhteyden ottaminen paljaaseen osoitteeseen ilman palvelinnimeä voi valita oletusvarmenteen, joka näyttää sitten väärältä tiedostolta, vaikka kyse onkin väärästä kysymyksestä.

Tunnista kyseiseen porttiin sidottu prosessi

Isännällä, jonka pitäisi vastaanottaa yhteys, luettele kuuntelijat ja merkitse sidontaosoite, osoiteperhe ja prosessin omistaja. Loopback-osoitteeseen sidottu palvelu ei ole sama kuin kaikkiin rajapintoihin sidottu, ja säilön julkaisu voi sijoittaa julkisen kuuntelijan aivan muualle.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Jos TLS päättyy edessä olevaan kuormantasaajaan tai välityspalvelimeen, pysähdy tähän ja tarkasta sen sijaan tuo etupää. Sen takana oleva Apache-instanssi ei ehkä koskaan esitä varmennetta julkiselle selaimelle, joten sen kokoonpanon muokkaaminen ei muuta mitään siitä, mitä selain näkee. Socket-näkymän ja ulkoisen kättelyn on kuvattava samaa polkua, ja juuri sen tämä vertailu todentaa.

Sovita virtuaalihosti ennen tiedostoa

Kun Apache on päättäjä, kysy siltä, mikä virtuaalihosti voittaa kyseiselle osoitteelle ja nimelle. Ohjauskomento tulostaa tehokkaan asettelun, mukaan lukien kullekin socketille sovitetun ryhmän, ilmoitetut palvelinnimet ja isännän, jota kohdellaan oletuksena. Varmenteen tiedoston muokkaaminen ilman tuota vastausta on se tapa, jolla väärä sivusto päätyy tarjoiltavaksi oikeasta tiedostosta.

sudo apachectl -S

Apachen SSL-UKK selittää, miten palvelinnimen osoitus valitsee varmenteen. HTTP Host -otsake saapuu kättelyn jälkeen eikä voi jälkikäteen muuttaa sitä, mikä on jo esitetty, joten täsmäämätön tai puuttuva nimi palaa oletusisäntään.

Nimetty virtuaalihosti, jonka ServerAliasissa on kirjoitusvirhe, tuottaa täsmälleen tämän oireen, ja niin tekee myös toinen asetustiedosto, joka lataa ensin kaiken sieppaavan isännän. Molemmat näkyvät tuossa asetteluluettelossa.

Varmista korjaus jokaisella väittämälläsi polulla

Hyväksytyn muutoksen jälkeen toista isäntänimikohtainen tarkistus jokaiselle osoiteperheelle ja lopeta selaimen tavanomaiseen validointiin ohituslipukkeen sijaan. Säilytä erillinen hallintapolku ennen kuin kosket jaettuihin kuuntelijan asetuksiin, sillä virhe siellä poistaa sen käyttöoikeuden, jota käyttäisit sen peruuttamiseen. Kirjaa sitten, mikä kuuntelija vastasi, mikä virtuaalihosti täsmäsi ja mikä varmenne tarjoiltiin ennen ja jälkeen.

Paketin poistaminen voi muuttaa asettelua ja jättää alkuperäisen epäsuhdan selittämättä, minkä vuoksi tuo merkintä elää korjausta pidempään.

Haluat aiotun sivuston aiotussa sisääntulopisteessä. Erilainen varmenne sen jälkeen, kun asiaankuulumaton palvelu on kadonnut, ei ole tuo tulos, vaikka selain lakkaisi valittamasta.