D'Websäit weist dat falscht Zertifikat? Fannt de Lauschterer

VPN-Software op engem Webhost ze installéieren kann Servicer ëmorganiséieren, awer en onerwaart Zertifikat beweist net, datt d'Apache-Dateien iwwerschriwwen goufen. Eppes huet dëst Zertifikat Ärem Browser presentéiert, an déi éischt Aufgab ass et ze benennen. Bis de Lauschterer an de virtuelle Host identifizéiert sinn, ass all Reparatur eng Vermutung, déi op déi falsch Schicht ugewannt gëtt. Déi ganz Kontroll hei ënnen ass just ze liesen.

Näischt gëtt nei gestart, deinstalléiert oder iwwerschriwwen, während Dir d'Fakten sammelt, déi de Fall entscheeden.

Liest d'Zertifikat, dat de Browser tatsächlech kritt huet

Notéiert den Hostnumm, déi opgeléist Adress fir all Famill, de Port an d'Detailer vum Zertifikat, iwwer déi de Browser sech beschwéiert huet. En Numm, deen op eng A- an eng AAAA-Record opgeléist gëtt, kann zwee verschidde Fronten erreechen, a just ee vun hinnen ass vläicht den Host, op deem Dir Shell-Zougang hutt. E Browser hannert engem Proxy kann nach eng Kéier en drëtte Wee huelen. Ze roden, wien d'Warnung produzéiert huet, ass eng Verschwendung vun der eenzeger Observatioun, déi Dir hutt.

Dann reproduzéiert den Handshake vun enger Maschinn um selwechte Wee, nennt d'Adress explizit an schéckt den intenzéierte Servernumm, sou datt d'Äntwert d'Säit reflektéiert an net den Standardhost.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Vergläicht déi alternativ Sujetnimm an de Fangerofdrock mam Zertifikat, deen Dir erwaart, an net mat engem vertrauten Aussteller. Eng Verbindung mat enger blousser Adress ouni de Servernumm kann en Standardzertifikat auswielen, wat dann wéi déi falsch Datei ausgesäit, wann et eigentlech déi falsch Fro ass.

Identifizéiert de Prozess, deen un dee Port gebonnen ass

Op dem Host, deen d'Verbindung soll kréien, listet d'Lauschterer op a notéiert d'Bindadress, d'Adressfamill an den Eegentemer vum Prozess. E Service, deen un d'Loopback-Adress gebonnen ass, ass net datselwecht wéi een, deen un all Interface gebonnen ass, an eng Container-Publikatioun kann de ëffentleche Lauschterer ganz sossenswou placéieren.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Wann TLS vun engem Load Balancer oder engem Proxy virun ofgeschloss gëtt, stoppt hei a kontrolléiert amplaz dee Front. D'Apache-Instanz hannendrun presentéiert vläicht ni engem ëffentleche Browser en Zertifikat, sou datt d'Ännerung vun hirer Konfiguratioun näischt vun deem ännert, wat de Browser gesäit. D'Socket-Vue an den externen Handshake mussen dee selwechte Wee beschreiwen, an dat ass wat dëse Verglach feststellt.

Passt den virtuelle Host virun der Datei un

Wann Apache den Ofschléisser ass, frot en, wéi e virtuelle Host fir déi Adress an deen Numm gewënnt. Den Kontrollkommando dréckt d'effektiv Layout, dorënner d'Grupp, déi zu all Socket passt, déi deklaréiert Servernimm an den Host, dee als Standard behandelt gëtt. Eng Zertifikatsdatei ouni déi Äntwert ze änneren ass de Wee, wéi déi falsch Säit aus enger korrekter Datei ausgeliwwert gëtt.

sudo apachectl -S

D'Apache SSL-FAQ erkläert, wéi d'Servernumm-Indikatioun en Zertifikat auswielt. Den HTTP Host-Kapp kënnt no dem Handshake un a kann net retrospektiv änneren, wat scho presentéiert gouf, sou datt en net passenden oder fehlenden Numm op den Standardhost zréckfällt.

En genannten virtuelle Host mat engem Tippfeeler am ServerAlias produzéiert genee dëst Symptom, an dat mécht och eng zweet Konfiguratiounsdatei, déi als éischt en Host lued, deen alles fänkt. Beides ass an där Layout-Lëscht ze gesinn.

Verifizéiert d'Korrektur op all Wee, deen Dir behaapt

No enger guttgeheeschter Ännerung, widderhëlt d'hostnumm-spezifesch Kontroll fir all Adressfamill a schléisst mat der gewéinlecher Validatioun vum Browser of amplaz mat enger Ëmgee-Flag. Bewahrt en separate Verwaltungswee, ier Dir déi gedeelt Lauschterer-Astellungen beréiert, well e Feeler do den Zougang ewech hëlt, deen Dir benotze géift, fir et réckgängeg ze maachen. Schreift dann op, wéi en Lauschterer geäntwert huet, wéi en virtuelle Host gepasst huet a wéi en Zertifikat virun an duerno ausgeliwwert gouf.

D'Ewechhuele vun engem Package kann d'Layout änneren an déi ursprénglech Net-Iwwereneestëmmung onerkläert loossen, dofir iwwerlieft déi Opzeechnung d'Reparatur.

Wat Dir wëllt, ass déi intenzéiert Säit um intenzéierte Bäitrëttspunkt. En anert Zertifikat, nodeem en onverbonne Service verschwonnen ass, ass net dat Resultat, och wann de Browser ophält sech ze beschwéieren.