ვებსაიტი არასწორ სერტიფიკატს აჩვენებს? იპოვეთ მსმენელი

ვებჰოსტზე VPN პროგრამული უზრუნველყოფის დაყენებამ შეიძლება სერვისები გადააწყოს, მაგრამ მოულოდნელი სერტიფიკატი არ ამტკიცებს, რომ Apache-ის ფაილები ხელახლა დაიწერა. რაღაცამ ეს სერტიფიკატი თქვენს ბრაუზერს წარუდგინა, და პირველი ამოცანა მისი დასახელებაა. სანამ მსმენელი და ვირტუალური ჰოსტი არ დადგინდება, ყოველი შეკეთება არასწორ ფენაზე გამოყენებული ვარაუდია. ქვემოთ მოცემული მთელი შემოწმება მხოლოდ კითხვისთვისაა.

საქმის გადამწყვეტი ფაქტების შეგროვებისას არაფერი არ გადაიტვირთება, არ ამოიშლება და არ გადაიწერება.

წაიკითხეთ სერტიფიკატი, რომელიც ბრაუზერმა რეალურად მიიღო

ჩაწერეთ ჰოსტის სახელი, თითოეული ოჯახისთვის ამოხსნილი მისამართი, პორტი და ის სერტიფიკატის დეტალები, რომლებზეც ბრაუზერმა უჩივლა. სახელი, რომელიც A და AAAA ჩანაწერებზე ერთდროულად იხსნება, შეიძლება ორ სხვადასხვა წინა ნაწილამდე მივიდეს, და მათგან მხოლოდ ერთი შეიძლება იყოს ჰოსტი, სადაც shell-წვდომა გაქვთ. პროქსის უკან მყოფ ბრაუზერს კვლავ შეუძლია მესამე გზა აირჩიოს. იმის გამოცნობა, რომელმა შექმნა გაფრთხილება, თქვენს ერთადერთ დაკვირვებას ხარჯავს.

შემდეგ გაამეორეთ ხელის ჩამორთმევა იმავე გზაზე მყოფი მანქანიდან, ცალსახად დაასახელეთ მისამართი და გაგზავნეთ განზრახული სერვერის სახელი, რათა პასუხი საიტს ასახავდეს და არა ნაგულისხმევ ჰოსტს.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

შეადარეთ საგნის ალტერნატიული სახელები და თითის ანაბეჭდი იმ სერტიფიკატს, რომელსაც ელოდებით, და არა ნაცნობ გამომცემელს. შიშველ მისამართზე დაკავშირებამ სერვერის სახელის გარეშე შეიძლება ნაგულისხმევი სერტიფიკატი აირჩიოს, რომელიც შემდეგ არასწორ ფაილად გამოიყურება, როცა სინამდვილეში კითხვაა არასწორი.

დაადგინეთ ამ პორტზე მიბმული პროცესი

ჰოსტზე, რომელმაც კავშირი უნდა მიიღოს, ჩამოთვალეთ მსმენელები და ჩაწერეთ მიბმის მისამართი, მისამართების ოჯახი და პროცესის მფლობელი. loopback-მისამართზე მიბმული სერვისი არ არის იგივე, რაც ყველა ინტერფეისზე მიბმული, და კონტეინერის გამოქვეყნებამ შეიძლება საჯარო მსმენელი სრულიად სხვა ადგილას მოათავსოს.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

თუ TLS-ს წინ მდგომი დატვირთვის გამანაწილებელი ან პროქსი ამთავრებს, აქ შეჩერდით და ნაცვლად ის წინა ნაწილი შეამოწმეთ. მის უკან არსებულმა Apache-ის ეგზემპლარმა შეიძლება საჯარო ბრაუზერს სერტიფიკატი არასდროს წარუდგინოს, ამიტომ მისი კონფიგურაციის რედაქტირება ბრაუზერის ხედვას არაფერს ცვლის. სოკეტების ხედი და გარე ხელის ჩამორთმევა ერთსა და იმავე გზას უნდა აღწერდეს, და სწორედ ამას ადგენს ეს შედარება.

ვირტუალური ჰოსტი ფაილამდე შეადარეთ

როცა Apache დამამთავრებელია, ჰკითხეთ, რომელი ვირტუალური ჰოსტი იმარჯვებს ამ მისამართსა და სახელზე. საკონტროლო ბრძანება ბეჭდავს ეფექტურ განლაგებას, მათ შორის თითოეულ სოკეტზე მორგებულ ჯგუფს, გამოცხადებულ სერვერის სახელებს და ნაგულისხმევად მიჩნეულ ჰოსტს. ამ პასუხის გარეშე სერტიფიკატის ფაილის რედაქტირება ის გზაა, რომლითაც არასწორი საიტი სწორი ფაილიდან დაიწყებს მომსახურებას.

sudo apachectl -S

Apache-ის SSL-ის ხშირად დასმული კითხვები ხსნიან, როგორ ირჩევს სერვერის სახელის მითითება სერტიფიკატს. HTTP-ის Host თავსართი ხელის ჩამორთმევის შემდეგ მოდის და ვერ შეცვლის უკანმოქმედად უკვე წარდგენილს, ამიტომ შეუსაბამო ან არმყოფი სახელი ნაგულისხმევ ჰოსტზე ბრუნდება.

ServerAlias-ში ბეჭდვითი შეცდომის მქონე დასახელებული ვირტუალური ჰოსტი ზუსტად ამ სიმპტომს ქმნის, და იგივეს აკეთებს მეორე კონფიგურაციის ფაილი, რომელიც პირველად ყველაფრის დამჭერ ჰოსტს ტვირთავს. ორივე იმ განლაგების სიაში ჩანს.

დაადასტურეთ შესწორება ყოველ გამოცხადებულ გზაზე

დამტკიცებული ცვლილების შემდეგ გაიმეორეთ ჰოსტის სახელზე სპეციფიკური შემოწმება თითოეული მისამართების ოჯახისთვის და დაასრულეთ ბრაუზერის ჩვეულებრივი ვალიდაციით და არა გვერდის ავლის დროშით. სანამ საერთო მსმენელის პარამეტრებს შეეხებით, შეინარჩუნეთ ცალკე ადმინისტრირების გზა, რადგან იქ დაშვებული შეცდომა აშორებს იმ წვდომას, რომელსაც გამოიყენებდით მის გასაუქმებლად. შემდეგ ჩაწერეთ, რომელმა მსმენელმა უპასუხა, რომელი ვირტუალური ჰოსტი დაემთხვა და რომელი სერტიფიკატი გაიცა მანამდე და შემდეგ.

პაკეტის წაშლამ შეიძლება განლაგება შეცვალოს და თავდაპირველი შეუსაბამობა აუხსნელად დატოვოს, ამიტომ ეს ჩანაწერი შეკეთებაზე დიდხანს ცოცხლობს.

რაც გსურთ, არის განზრახული საიტი განზრახულ შესასვლელ წერტილში. დაუკავშირებელი სერვისის გაქრობის შემდეგ სხვა სერტიფიკატი არ არის ის შედეგი, თუნდაც ბრაუზერმა ჩივილი შეწყვიტოს.