Webside toant it ferkearde sertifikaat? Fyn de lústerjende tsjinst

It ynstallearjen fan VPN-software op in webhost kin tsjinsten omskikke, mar in ûnferwachts sertifikaat bewiist net dat de Apache-bestannen oerskreaun binne. Iets presintearre dat sertifikaat oan jo browser, en de earste taak is om it te neamen. Oant de lústerjende tsjinst en de firtuele host identifisearre binne, is elke reparaasje in gissing tapast op de ferkearde laach. De hiele kontrôle hjirûnder is allinnich lêze.

Neat wurdt opnij start, deynstallearre of oerskreaun wylst jo de feiten sammelje dy't de saak besljochtsje.

Lês it sertifikaat dat de browser echt krige

Skriuw de hostnamme, it oploste adres foar elke famylje, de poarte en de sertifikaatdetails dêr't de browser oer klage oan. In namme dy't nei sawol in A- as in AAAA-record oplost, kin twa ferskillende fronten berikke, en mar ien fan beide is miskien de host dêr't jo shell-tagong ta hawwe. In browser efter in proxy kin wer in tredde paad nimme. Riede hokker fan beide de warskôging makke hat, fergriemt de iennichste observaasje dy't jo hawwe.

Reprodusearje dan de handshake fan in masine op itselde paad, neam it adres eksplisyt en stjoer de bedoelde servernamme, sadat it antwurd de side wjerspegelet ynstee fan de standert host.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Fergelykje de alternative subjektnammen en it fingerôfdruk mei it sertifikaat dat jo ferwachtsje, net mei in fertroud útjouwer. Ferbinen mei in bleat adres sûnder de servernamme kin in standert sertifikaat kieze, dat dan op it ferkearde bestân liket wylst it eins de ferkearde fraach is.

Identifisearje it proses dat oan dy poarte bûn is

Op de host dy't de ferbining ûntfange moat, listje de lústerjende tsjinsten en skriuw it bindadres, de adresfamylje en de eigner fan it proses op. In tsjinst bûn oan it loopback-adres is net itselde as ien bûn oan alle ynterfaces, en in containerpublikaasje kin de iepenbiere lústerder hielendal earne oars pleatse.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

As TLS beëinige wurdt troch in load balancer of in proxy foarôf, stopje hjir en ûndersykje ynstee dat front. De Apache-ynstânsje derachter presentearet miskien nea in sertifikaat oan in iepenbiere browser, dat it bewurkjen fan syn konfiguraasje feroaret neat fan wat de browser sjocht. It socketbyld en de eksterne handshake moatte itselde paad beskriuwe, en dat is wat dizze ferliking fêststelt.

Kombinearje de firtuele host foar it bestân

As Apache de beëiniger is, freegje it dan hokker firtuele host foar dat adres en dy namme wint. It kontrôlekommando prints it effektive yndieling, ynklusyf de groep dy't by elke socket past, de ferklearre servernammen en de host dy't as standert behannele wurdt. In sertifikaatbestân bewurkje sûnder dat antwurd is hoe't de ferkearde side úteinlik út in korrekt bestân tsjinne wurdt.

sudo apachectl -S

De Apache SSL-FAQ ferklearret hoe't oantsjutting fan servernamme in sertifikaat kiest. De HTTP Host-kop komt nei de handshake oan en kin net efterôf feroarje wat al presintearre is, dat in net passende of ûntbrekkende namme falt werom op de standert host.

In neamde firtuele host mei in typflater yn ServerAlias makket krekt dit symptoom, en dat docht in twadde konfiguraasjebestân dat earst in catch-all-host ladt, ek. Beide binne sichtber yn dy yndielingslist.

Ferifiearje de reparaasje op elk paad dat jo beweare

Nei in goedkarde wiziging, werhelje de hostnamme-spesifike kontrôle foar elke adresfamylje en einigje mei de gewoane falidaasje fan 'e browser ynstee fan in omsileflagge. Bewarje in apart administraasjepaad foardat jo mienskiplike lústerder-ynstellingen oanreitsje, want in flater dêr hellet de tagong wei dy't jo brûke soene om it ûngedien te meitsjen. Skriuw dan op hokker lústerder antwade, hokker firtuele host oerienkaam en hokker sertifikaat foar en nei tsjinne waard.

It fuortheljen fan in pakket kin de yndieling feroarje en de oarspronklike mismatch ûnferklearre litte, en dêrom oerlibbet dat ferslach de reparaasje.

Wat jo wolle is de bedoelde side op it bedoelde yngongspunt. In oar sertifikaat neidat in net-relatearre tsjinst ferdwûn is, is net dat resultaat, ek as de browser ophâldt mei klagen.