Svetainė rodo netinkamą sertifikatą? Raskite klausytoją

VPN programinės įrangos diegimas žiniatinklio serveryje gali pertvarkyti paslaugas, tačiau netikėtas sertifikatas neįrodo, kad Apache failai buvo perrašyti. Kažkas pateikė tą sertifikatą jūsų naršyklei, ir pirmasis uždavinys yra jį įvardyti. Kol klausytojas ir virtualusis serveris nenustatyti, kiekvienas taisymas yra spėjimas, taikomas netinkamam sluoksniui. Visas toliau pateiktas patikrinimas yra tik skaitomasis.

Niekas neperleidžiama, nepašalinama ir neperrašoma, kol renkate faktus, kurie nulemia bylą.

Perskaitykite sertifikatą, kurį naršyklė tikrai gavo

Užsirašykite pagrindinio kompiuterio vardą, kiekvienai šeimai išspręstą adresą, prievadą ir sertifikato detales, dėl kurių naršyklė skundėsi. Vardas, kuris sprendžiamas ir į A, ir į AAAA įrašą, gali pasiekti du skirtingus priekinius taškus, ir tik vienas iš jų gali būti serveris, prie kurio turite apvalkalo prieigą. Naršyklė už tarpinio serverio vėl gali pasirinkti trečią kelią. Spėjimas, kuris iš jų sukėlė įspėjimą, iššvaisto vienintelį turimą stebėjimą.

Tada atkurkite rankos paspaudimą iš mašinos tame pačiame kelyje, aiškiai nurodydami adresą ir siųsdami numatytą serverio vardą, kad atsakymas atspindėtų svetainę, o ne numatytąjį serverį.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Palyginkite alternatyvius subjekto vardus ir piršto atspaudą su sertifikatu, kurio tikitės, o ne su pažįstamu išdavėju. Prisijungimas prie pliko adreso be serverio vardo gali pasirinkti numatytąjį sertifikatą, kuris tada atrodo kaip netinkamas failas, nors iš tikrųjų tai netinkamas klausimas.

Nustatykite procesą, susietą su tuo prievadu

Serveryje, kuris turėtų priimti ryšį, išvardykite klausytojus ir pažymėkite susiejimo adresą, adresų šeimą ir proceso savininką. Paslauga, susieta su grįžtamosios kilpos adresu, nėra tas pats kaip susieta su visomis sąsajomis, o konteinerio publikavimas gali viešąjį klausytoją patalpinti visai kitur.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Jei TLS baigiamas apkrovos balansuoklio ar priekyje esančio tarpinio serverio, sustokite čia ir tirkite tą priekinį tašką. Už jo esantis Apache egzempliorius gali niekada nepateikti sertifikato viešai naršyklei, todėl jo konfigūracijos redagavimas nekeičia nieko, ką mato naršyklė. Lizdų vaizdas ir išorinis rankos paspaudimas turi apibūdinti tą patį kelią, ir būtent tai nustato šis palyginimas.

Suderinkite virtualųjį serverį prieš failą

Kai Apache yra baigiamasis, paklauskite jo, kuris virtualusis serveris laimi tam adresui ir vardui. Valdymo komanda išspausdina faktinį išdėstymą, įskaitant grupę, atitinkančią kiekvieną lizdą, deklaruotus serverio vardus ir serverį, laikomą numatytuoju. Sertifikato failo redagavimas be to atsakymo yra būdas, kuriuo netinkama svetainė pradedama aptarnauti iš teisingo failo.

sudo apachectl -S

Apache SSL DUK paaiškina, kaip serverio vardo nurodymas parenka sertifikatą. HTTP Host antraštė atvyksta po rankos paspaudimo ir negali atgaline data pakeisti to, kas jau buvo pateikta, todėl nesutampantis arba trūkstamas vardas grįžta prie numatytojo serverio.

Pavadintas virtualusis serveris su rašybos klaida ServerAlias sukelia būtent šį simptomą, ir tą patį daro antroji konfigūracijos byla, kuri pirmiausia įkelia viską gaudantį serverį. Abu matomi tame išdėstymo sąraše.

Patikrinkite taisymą kiekviename nurodytame kelyje

Po patvirtinto pakeitimo pakartokite konkretaus serverio vardo patikrinimą kiekvienai adresų šeimai ir užbaikite įprastu naršyklės patvirtinimu, o ne apėjimo vėliavėle. Išsaugokite atskirą administravimo kelią prieš liesdami bendrus klausytojo nustatymus, nes ten esanti klaida pašalina prieigą, kurią naudotumėte jai atšaukti. Tada užsirašykite, kuris klausytojas atsakė, kuris virtualusis serveris atitiko ir kuris sertifikatas buvo pateiktas prieš ir po.

Paketo pašalinimas gali pakeisti išdėstymą ir palikti pradinį neatitikimą nepaaiškintą, todėl tas įrašas pergyvena taisymą.

Ko norite, tai numatyta svetainė numatytame įėjimo taške. Kitas sertifikatas po to, kai dingo nesusijusi paslauga, nėra tas rezultatas, net kai naršyklė nustoja skųstis.