Le site affiche le mauvais certificat ? Trouvez l'écouteur

Installer un logiciel VPN sur un hébergement web peut réorganiser des services, mais un certificat inattendu ne prouve pas que les fichiers Apache ont été réécrits. Quelque chose a présenté ce certificat à votre navigateur, et la première tâche est de le nommer. Tant que l'écouteur et l'hôte virtuel ne sont pas identifiés, chaque réparation est une supposition appliquée à la mauvaise couche. Toute la vérification ci-dessous est en lecture seule.

Rien n'est redémarré, désinstallé ni écrasé pendant que vous rassemblez les faits qui décident de l'affaire.

Lisez le certificat que le navigateur a réellement reçu

Notez le nom d'hôte, l'adresse résolue pour chaque famille, le port et les détails du certificat dont le navigateur s'est plaint. Un nom qui se résout à la fois en enregistrement A et AAAA peut atteindre deux fronts différents, et un seul d'entre eux est peut-être l'hôte auquel vous avez un accès shell. Un navigateur derrière un proxy peut de nouveau emprunter un troisième chemin. Deviner lequel a produit l'avertissement gaspille la seule observation dont vous disposez.

Reproduisez ensuite la poignée de main depuis une machine sur le même chemin, en nommant explicitement l'adresse et en envoyant le nom de serveur voulu pour que la réponse reflète le site plutôt que l'hôte par défaut.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Comparez les noms alternatifs du sujet et l'empreinte au certificat que vous attendez, et non à un émetteur familier. Se connecter à une adresse nue sans le nom de serveur peut sélectionner un certificat par défaut, qui ressemble alors au mauvais fichier alors qu'il s'agit en réalité de la mauvaise question.

Identifiez le processus lié à ce port

Sur l'hôte qui doit recevoir la connexion, listez les écouteurs et notez l'adresse de liaison, la famille d'adresses et le propriétaire du processus. Un service lié à l'adresse de bouclage n'est pas la même chose qu'un service lié à toutes les interfaces, et une publication de conteneur peut placer l'écouteur public complètement ailleurs.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Si TLS est terminé par un répartiteur de charge ou un proxy placé devant, arrêtez-vous ici et inspectez plutôt ce front. L'instance Apache derrière lui peut ne jamais présenter de certificat à un navigateur public, si bien que modifier sa configuration ne change rien de ce que le navigateur voit. La vue des sockets et la poignée de main externe doivent décrire le même chemin, et c'est ce que cette comparaison établit.

Faites correspondre l'hôte virtuel avant le fichier

Quand Apache est le terminateur, demandez-lui quel hôte virtuel gagne pour cette adresse et ce nom. La commande de contrôle imprime la disposition effective, y compris le groupe associé à chaque socket, les noms de serveur déclarés et l'hôte traité par défaut. Modifier un fichier de certificat sans cette réponse, c'est ainsi que le mauvais site finit par être servi depuis un fichier correct.

sudo apachectl -S

La FAQ SSL d'Apache explique comment l'indication du nom de serveur sélectionne un certificat. L'en-tête Host de HTTP arrive après la poignée de main et ne peut pas modifier rétroactivement ce qui a déjà été présenté, si bien qu'un nom non concordant ou absent retombe sur l'hôte par défaut.

Un hôte virtuel nommé avec une faute de frappe dans ServerAlias produit exactement ce symptôme, tout comme un second fichier de configuration qui charge d'abord un hôte attrape-tout. Les deux sont visibles dans cette liste de disposition.

Vérifiez la correction sur chaque chemin que vous affirmez

Après un changement approuvé, répétez la vérification propre au nom d'hôte pour chaque famille d'adresses et terminez par la validation ordinaire du navigateur plutôt qu'un indicateur de contournement. Conservez un chemin d'administration séparé avant de toucher aux réglages partagés de l'écouteur, car une erreur à cet endroit supprime l'accès que vous utiliseriez pour l'annuler. Notez ensuite quel écouteur a répondu, quel hôte virtuel correspondait et quel certificat a été servi avant et après.

La suppression d'un paquet peut modifier la disposition et laisser la divergence d'origine inexpliquée, et c'est pourquoi cet enregistrement survit à la réparation.

Ce que vous voulez, c'est le site voulu au point d'entrée voulu. Un certificat différent après la disparition d'un service sans rapport n'est pas ce résultat, même lorsque le navigateur cesse de se plaindre.