Situs web menampilkan sertifikat yang salah? Temukan pendengarnya

Memasang perangkat lunak VPN di host web dapat menata ulang layanan, tetapi sertifikat tak terduga tidak membuktikan berkas Apache ditulis ulang. Sesuatu menyajikan sertifikat itu kepada peramban Anda, dan tugas pertama adalah menamainya. Sampai pendengar dan host virtual diidentifikasi, setiap perbaikan adalah dugaan yang diterapkan pada lapisan yang salah. Seluruh pemeriksaan di bawah ini hanya untuk dibaca.

Tidak ada yang dimulai ulang, dicopot, atau ditimpa saat Anda mengumpulkan fakta yang menentukan kasusnya.

Baca sertifikat yang benar-benar diterima peramban

Catat nama host, alamat hasil resolusi untuk setiap keluarga, port, dan detail sertifikat yang dikeluhkan peramban. Nama yang diresolusi ke catatan A dan AAAA dapat mencapai dua ujung depan berbeda, dan hanya salah satunya mungkin host tempat Anda memiliki akses shell. Peramban di belakang proksi dapat mengambil jalur ketiga lagi. Menduga mana yang menghasilkan peringatan membuang satu-satunya pengamatan yang Anda miliki.

Lalu reproduksi handshake dari mesin di jalur yang sama, sebutkan alamatnya secara eksplisit, dan kirim nama server yang dimaksud agar jawabannya mencerminkan situs, bukan host bawaan.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Bandingkan nama alternatif subjek dan sidik jari dengan sertifikat yang Anda harapkan, bukan dengan penerbit yang dikenal. Menyambung ke alamat telanjang tanpa nama server dapat memilih sertifikat bawaan, yang kemudian tampak seperti berkas yang salah padahal sebenarnya pertanyaannya yang salah.

Identifikasi proses yang terikat ke port itu

Pada host yang seharusnya menerima koneksi, daftarkan pendengar dan catat alamat pengikatan, keluarga alamat, dan pemilik proses. Layanan yang terikat ke alamat loopback tidak sama dengan yang terikat ke semua antarmuka, dan publikasi kontainer dapat menempatkan pendengar publik di tempat yang sama sekali lain.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Jika TLS diakhiri oleh penyeimbang beban atau proksi di depan, berhentilah di sini dan periksa ujung depan itu sebagai gantinya. Instans Apache di belakangnya mungkin tidak pernah menyajikan sertifikat kepada peramban publik, sehingga menyunting konfigurasinya tidak mengubah apa pun yang dilihat peramban. Tampilan soket dan handshake eksternal harus menggambarkan jalur yang sama, dan itulah yang ditetapkan oleh perbandingan ini.

Cocokkan host virtual sebelum berkas

Ketika Apache adalah pengakhirnya, tanyakan host virtual mana yang menang untuk alamat dan nama itu. Perintah kendali mencetak tata letak efektif, termasuk grup yang cocok untuk setiap soket, nama server yang dideklarasikan, dan host yang diperlakukan sebagai bawaan. Menyunting berkas sertifikat tanpa jawaban itu adalah cara situs yang salah akhirnya dilayani dari berkas yang benar.

sudo apachectl -S

FAQ SSL Apache menjelaskan bagaimana indikasi nama server memilih sertifikat. Header Host HTTP tiba setelah handshake dan tidak dapat mengubah secara retroaktif apa yang sudah disajikan, sehingga nama yang tidak cocok atau tidak ada jatuh ke host bawaan.

Host virtual bernama dengan salah ketik di ServerAlias menghasilkan gejala ini persis, dan begitu juga berkas konfigurasi kedua yang memuat host penangkap semua lebih dulu. Keduanya terlihat dalam daftar tata letak itu.

Verifikasi perbaikan di setiap jalur yang Anda klaim

Setelah perubahan disetujui, ulangi pemeriksaan khusus nama host untuk setiap keluarga alamat dan akhiri dengan validasi biasa peramban alih-alih tanda pengabaian. Pertahankan jalur administrasi terpisah sebelum menyentuh pengaturan pendengar bersama, karena kesalahan di sana menghapus akses yang akan Anda gunakan untuk membatalkannya. Lalu catat pendengar mana yang menjawab, host virtual mana yang cocok, dan sertifikat mana yang disajikan sebelum dan sesudah.

Penghapusan paket dapat mengubah tata letak dan membiarkan ketidakcocokan awal tanpa penjelasan, itulah sebabnya catatan itu bertahan lebih lama daripada perbaikannya.

Yang Anda inginkan adalah situs yang dimaksud di titik masuk yang dimaksud. Sertifikat yang berbeda setelah layanan tak terkait menghilang bukanlah hasil itu, bahkan ketika peramban berhenti mengeluh.