Կայքը ցույց է տալիս սխալ վկայական? Գտեք լսողին

Վեբ հոսթում VPN ծրագրակազմի տեղադրումը կարող է վերադասավորել ծառայությունները, սակայն անսպասելի վկայականը չի ապացուցում, որ Apache-ի ֆայլերը վերագրվել են։ Ինչ-որ բան այդ վկայականը ներկայացրել է ձեր զննարկիչին, և առաջին խնդիրը այն անվանելն է։ Քանի դեռ լսողը և վիրտուալ հոսթը որոշված չեն, յուրաքանչյուր վերանորոգում սխալ շերտի վրա կիրառված ենթադրություն է։ Ներքևի ամբողջ ստուգումը միայն ընթերցման համար է։

Գործը որոշող փաստերը հավաքելիս ոչինչ չի վերագործարկվում, չի հեռացվում և չի վերագրվում։

Կարդացեք այն վկայականը, որ զննարկիչը իրականում ստացել է

Գրանցեք հոսթի անունը, յուրաքանչյուր ընտանիքի համար լուծված հասցեն, պորտը և վկայականի այն մանրամասները, որոնցից զննարկիչը բողոքել է։ Անունը, որը լուծվում է և՛ A, և՛ AAAA գրառման, կարող է հասնել երկու տարբեր առջևի մասերի, և դրանցից միայն մեկը կարող է լինել այն հոսթը, որտեղ դուք shell մուտք ունեք։ Պրոքսիի հետևում գտնվող զննարկիչը կարող է կրկին ընտրել երրորդ ուղին։ Գուշակելը, թե որն է առաջացրել նախազգուշացումը, վատնում է ձեր միակ դիտարկումը։

Այնուհետև նույն ուղու վրա գտնվող մեքենայից վերարտադրեք ձեռքսեղմումը՝ հստակ նշելով հասցեն և ուղարկելով նախատեսված սերվերի անունը, որպեսզի պատասխանը արտացոլի կայքը, այլ ոչ թե լռելյայն հոսթը։

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Համեմատեք սուբյեկտի այլընտրանքային անունները և մատնահետքը ձեր սպասած վկայականի հետ, և ոչ թե ծանոթ թողարկողի հետ։ Մերկ հասցեին միանալը՝ առանց սերվերի անվան, կարող է ընտրել լռելյայն վկայական, որն այնուհետև նմանվում է սխալ ֆայլի, մինչ իրականում հարցն է սխալ։

Որոշեք այդ պորտին կապված գործընթացը

Այն հոսթում, որը պետք է ընդունի միացումը, թվարկեք լսողներին և գրանցեք կապման հասցեն, հասցեների ընտանիքը և գործընթացի սեփականատիրոջը։ loopback հասցեին կապված ծառայությունը նույնը չէ, ինչ բոլոր ինտերֆեյսներին կապվածը, և կոնտեյների հրապարակումը կարող է հանրային լսողին դնել բոլորովին այլ տեղ։

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Եթե TLS-ը ավարտում է առջևում գտնվող բեռնվածքի հավասարակշռիչը կամ պրոքսին, կանգ առեք այստեղ և փոխարենը ստուգեք այդ առջևի մասը։ Դրա հետևում գտնվող Apache-ի օրինակը կարող է երբեք վկայական չներկայացնել հանրային զննարկիչին, ուստի դրա կոնֆիգուրացիան խմբագրելը ոչինչ չի փոխում զննարկիչի տեսածից։ Սոկետների տեսքը և արտաքին ձեռքսեղմումը պետք է նկարագրեն նույն ուղին, և հենց դա է հաստատում այս համեմատությունը։

Համեմատեք վիրտուալ հոսթը ֆայլից առաջ

Երբ Apache-ն ավարտողն է, հարցրեք նրան, թե որ վիրտուալ հոսթն է հաղթում այդ հասցեի և անվան համար։ Կառավարման հրամանը տպում է փաստացի դասավորությունը՝ ներառյալ յուրաքանչյուր սոկետին համապատասխան խումբը, հայտարարված սերվերի անունները և լռելյայն համարվող հոսթը։ Առանց այդ պատասխանի վկայականի ֆայլը խմբագրելը հենց այն ուղին է, որով սխալ կայքը սկսում է սպասարկվել ճիշտ ֆայլից։

sudo apachectl -S

Apache-ի SSL-ի հաճախ տրվող հարցերը բացատրում են, թե ինչպես է սերվերի անվան նշումը ընտրում վկայական։ HTTP-ի Host վերնագիրը գալիս է ձեռքսեղմումից հետո և չի կարող հետահայաց փոխել արդեն ներկայացվածը, ուստի չհամապատասխանող կամ բացակայող անունը վերադառնում է լռելյայն հոսթին։

ServerAlias-ում տպագրական սխալով անվանակոչված վիրտուալ հոսթը ստեղծում է հենց այս ախտանիշը, և նույնը անում է երկրորդ կոնֆիգուրացիոն ֆայլը, որը նախ բեռնում է ամեն ինչ բռնող հոսթը։ Երկուսն էլ երևում են այդ դասավորության ցանկում։

Ստուգեք ուղղումը յուրաքանչյուր հայտարարված ուղու վրա

Հաստատված փոփոխությունից հետո կրկնեք հոսթի անվանը հատուկ ստուգումը յուրաքանչյուր հասցեների ընտանիքի համար և ավարտեք զննարկիչի սովորական վավերացումով, այլ ոչ թե շրջանցման դրոշով։ Նախքան ընդհանուր լսողի կարգավորումներին դիպչելը պահպանեք առանձին վարչական ուղի, որովհետև այնտեղի սխալը հեռացնում է այն մուտքը, որը դուք կօգտագործեիք այն չեղարկելու համար։ Այնուհետև գրեք, թե որ լսողն է պատասխանել, որ վիրտուալ հոսթն է համապատասխանել և որ վկայականն է տրվել առաջ և հետո։

Փաթեթի հեռացումը կարող է փոխել դասավորությունը և սկզբնական անհամապատասխանությունը թողնել առանց բացատրության, այդ պատճառով այդ գրառումն ապրում է վերանորոգումից ավելի երկար։

Ինչ ուզում եք, նախատեսված կայքն է նախատեսված մուտքի կետում։ Անկապ ծառայության անհետանալուց հետո այլ վկայականը այդ արդյունքը չէ, նույնիսկ երբ զննարկիչը դադարում է բողոքել։