A webhely rossz tanúsítványt mutat? Keresse meg a figyelőt

A VPN-szoftver webes tárhelyre telepítése átrendezheti a szolgáltatásokat, de egy váratlan tanúsítvány nem bizonyítja, hogy az Apache fájlokat felülírták. Valami bemutatta ezt a tanúsítványt a böngészőjének, és az első feladat annak megnevezése. Amíg a figyelőt és a virtuális gazdagépet nem azonosítják, minden javítás a rossz rétegre alkalmazott találgatás. Az alábbi ellenőrzés teljes egészében csak olvasásra szolgál.

Semmi sem indul újra, nem települ le és nem íródik felül, miközben az ügyet eldöntő tényeket gyűjti.

Olvassa el a tanúsítványt, amelyet a böngésző valóban kapott

Jegyezze fel a gazdagépnevet, az egyes címcsaládokhoz feloldott címet, a portot és a tanúsítvány azon részleteit, amelyek miatt a böngésző panaszkodott. Egy név, amely A és AAAA rekordra egyaránt feloldódik, két különböző előtérbe juthat el, és csak az egyikük lehet az a gazdagép, amelyhez shell-hozzáférése van. Egy proxy mögötti böngésző ismét egy harmadik útvonalat vehet. Annak találgatása, melyik okozta a figyelmeztetést, elpazarolja az egyetlen megfigyelését.

Ezután reprodukálja a kézfogást egy ugyanazon az útvonalon lévő gépről, kifejezetten megnevezve a címet és elküldve a szándékolt kiszolgálónevet, hogy a válasz a webhelyet tükrözze, ne az alapértelmezett gazdagépet.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Hasonlítsa össze a szubjektum alternatív neveit és az ujjlenyomatot a várt tanúsítvánnyal, és ne egy ismerős kibocsátóval. Ha a kiszolgálónév nélkül csatlakozik egy csupasz címhez, alapértelmezett tanúsítvány választódhat, amely aztán rossz fájlnak látszik, pedig valójában a rossz kérdésről van szó.

Azonosítsa az adott porthoz kötött folyamatot

Azon a gazdagépen, amelynek a kapcsolatot fogadnia kell, listázza a figyelőket, és jegyezze fel a kötési címet, a címcsaládot és a folyamat tulajdonosát. Egy hurokcímhez kötött szolgáltatás nem ugyanaz, mint egy minden interfészhez kötött, és egy konténer-közzététel a nyilvános figyelőt teljesen máshová helyezheti.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Ha a TLS-t egy terheléselosztó vagy egy előtte álló proxy zárja le, álljon meg itt, és vizsgálja meg inkább azt az előteret. A mögötte lévő Apache-példány talán soha nem mutat tanúsítványt nyilvános böngészőnek, így a konfigurációjának szerkesztése semmit sem változtat azon, amit a böngésző lát. A socket-nézetnek és a külső kézfogásnak ugyanazt az útvonalat kell leírnia, és ezt állapítja meg ez az összehasonlítás.

A fájl előtt párosítsa a virtuális gazdagépet

Amikor az Apache a lezáró, kérdezze meg tőle, melyik virtuális gazdagép nyer arra a címre és névre. A vezérlőparancs kiírja az effektív elrendezést, beleértve az egyes socketekhez illesztett csoportot, a deklarált kiszolgálóneveket és az alapértelmezettként kezelt gazdagépet. Egy tanúsítványfájl szerkesztése e válasz nélkül az az út, amelyen a rossz webhely végül egy helyes fájlból kiszolgálva lesz.

sudo apachectl -S

Az Apache SSL GYIK elmagyarázza, hogyan választ tanúsítványt a kiszolgálónév-megjelölés. A HTTP Host fejléc a kézfogás után érkezik, és nem tudja visszamenőleg megváltoztatni azt, ami már bemutatásra került, így a nem egyező vagy hiányzó név az alapértelmezett gazdagépre esik vissza.

Egy elnevezett virtuális gazdagép, amelynek ServerAlias bejegyzésében elírás van, pontosan ezt a tünetet produkálja, és ugyanezt teszi egy második konfigurációs fájl, amely elsőként egy mindent elkapó gazdagépet tölt be. Mindkettő látható abban az elrendezéslistában.

Ellenőrizze a javítást minden állított útvonalon

Egy jóváhagyott változtatás után ismételje meg a gazdagépnév-specifikus ellenőrzést minden címcsaládra, és fejezze be a böngésző szokásos érvényesítésével egy megkerülő kapcsoló helyett. Őrizzen meg egy külön adminisztrációs útvonalat, mielőtt a megosztott figyelőbeállításokhoz nyúl, mert az ottani hiba eltávolítja azt a hozzáférést, amelyet a visszavonáshoz használna. Ezután írja le, melyik figyelő válaszolt, melyik virtuális gazdagép egyezett, és melyik tanúsítvány került kiszolgálásra előtte és utána.

Egy csomag eltávolítása megváltoztathatja az elrendezést, és az eredeti eltérést magyarázat nélkül hagyhatja, ezért éli túl ez a feljegyzés a javítást.

Amit szeretne, az a szándékolt webhely a szándékolt belépési ponton. Egy más tanúsítvány azután, hogy egy nem kapcsolódó szolgáltatás eltűnt, nem ez az eredmény, akkor sem, amikor a böngésző abbahagyja a panaszkodást.