Vietne rāda nepareizo sertifikātu? Atrodiet klausītāju

VPN programmatūras instalēšana tīmekļa resursdatorā var pārkārtot pakalpojumus, taču negaidīts sertifikāts nepierāda, ka Apache faili ir pārrakstīti. Kaut kas uzrādīja šo sertifikātu jūsu pārlūkam, un pirmais uzdevums ir to nosaukt. Kamēr klausītājs un virtuālais resursdators nav noteikti, katrs labojums ir minējums, kas piemērots nepareizajam slānim. Visa zemāk redzamā pārbaude ir tikai lasāma.

Nekas netiek restartēts, atinstalēts vai pārrakstīts, kamēr vācat faktus, kas izšķir lietu.

Izlasi sertifikātu, ko pārlūks patiešām saņēma

Pierakstiet resursdatora nosaukumu, atrisināto adresi katrai saimei, portu un sertifikāta detaļas, par kurām pārlūks sūdzējās. Nosaukums, kas atrisinās gan uz A, gan uz AAAA ierakstu, var sasniegt divas dažādas priekšpuses, un tikai viena no tām var būt resursdators, kuram jums ir čaulas piekļuve. Pārlūks aiz starpniekservera var atkal izvēlēties trešo ceļu. Minēšana, kura no tām radīja brīdinājumu, izšķērdē vienīgo novērojumu, kas jums ir.

Pēc tam atkārtojiet roku paspiešanu no mašīnas tajā pašā ceļā, skaidri nosaucot adresi un nosūtot paredzēto servera nosaukumu, lai atbilde atspoguļotu vietni, nevis noklusējuma resursdatoru.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Salīdziniet subjekta alternatīvos nosaukumus un pirksta nospiedumu ar sertifikātu, kuru gaidāt, nevis ar pazīstamu izdevēju. Savienošanās ar kailu adresi bez servera nosaukuma var atlasīt noklusējuma sertifikātu, kas tad izskatās kā nepareizais fails, lai gan patiesībā jautājums ir nepareizs.

Nosakiet procesu, kas piesaistīts šim portam

Resursdatorā, kuram jāsaņem savienojums, uzskaitiet klausītājus un pierakstiet piesaistes adresi, adrešu saimi un procesa īpašnieku. Pakalpojums, kas piesaistīts atgriezeniskās saites adresei, nav tas pats, kas piesaistīts visām saskarnēm, un konteinera publicēšana var novietot publisko klausītāju pavisam citur.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Ja TLS galā ir slodzes balansētājs vai priekšā esošs starpniekserveris, apstājieties šeit un pārbaudiet šo priekšpusi. Aiz tā esošā Apache instance var nekad neuzrādīt sertifikātu publiskam pārlūkam, tāpēc tās konfigurācijas rediģēšana nemaina neko no tā, ko pārlūks redz. Ligzdu skatam un ārējai roku paspiešanai ir jāapraksta viens un tas pats ceļš, un tieši to nosaka šis salīdzinājums.

Saskaņojiet virtuālo resursdatoru pirms faila

Kad Apache ir noslēdzējs, pajautājiet tam, kurš virtuālais resursdators uzvar šai adresei un nosaukumam. Vadības komanda izdrukā faktisko izkārtojumu, tostarp katrai ligzdai atbilstošo grupu, deklarētos servera nosaukumus un resursdatoru, kas tiek uzskatīts par noklusējuma. Sertifikāta faila rediģēšana bez šīs atbildes ir veids, kā nepareizā vietne tiek apkalpota no pareiza faila.

sudo apachectl -S

Apache SSL BUJ skaidro, kā servera nosaukuma norāde izvēlas sertifikātu. HTTP Host galvene pienāk pēc roku paspiešanas un nevar atpakaļejoši mainīt to, kas jau tika uzrādīts, tāpēc nesakanošs vai trūkstošs nosaukums atkrīt uz noklusējuma resursdatoru.

Nosaukts virtuālais resursdators ar drukas kļūdu ServerAlias rada tieši šo simptomu, un to pašu dara otra konfigurācijas datne, kas vispirms ielādē visu satverošo resursdatoru. Abi ir redzami šajā izkārtojuma sarakstā.

Pārbaudiet labojumu katrā norādītajā ceļā

Pēc apstiprinātas izmaiņas atkārtojiet resursdatora nosaukumam specifisko pārbaudi katrai adrešu saimei un pabeidziet ar pārlūka parasto validāciju, nevis apiešanas karodziņu. Saglabājiet atsevišķu administrēšanas ceļu, pirms pieskaraties koplietotajiem klausītāja iestatījumiem, jo kļūda tur noņem piekļuvi, ko izmantotu tās atsaukšanai. Pēc tam pierakstiet, kurš klausītājs atbildēja, kurš virtuālais resursdators atbilda un kurš sertifikāts tika apkalpots pirms un pēc.

Pakotnes noņemšana var mainīt izkārtojumu un atstāt sākotnējo neatbilstību neizskaidrotu, tāpēc šis ieraksts pārdzīvo labojumu.

Tas, ko vēlaties, ir paredzētā vietne paredzētajā ieejas punktā. Cits sertifikāts pēc tam, kad pazuda nesaistīts pakalpojums, nav šis rezultāts, pat ja pārlūks pārstāj sūdzēties.