Веб-страницата прикажува погрешен сертификат? Најдете го слушачот

Инсталирањето VPN софтвер на веб-домаќин може да ги преуреди услугите, но неочекуван сертификат не докажува дека датотеките на Apache се препишани. Нешто го претстави тој сертификат на вашиот прелистувач, и првата задача е да го именувате. Додека слушачот и виртуелниот домаќин не се определат, секоја поправка е претпоставка применета на погрешен слој. Целата проверка подолу е само за читање.

Ништо не се рестартира, деинсталира или препишува додека ги собирате фактите што го решаваат случајот.

Прочитајте го сертификатот што прелистувачот навистина го доби

Запишете го името на домаќинот, решената адреса за секое семејство, портата и деталите за сертификатот за кои се пожали прелистувачот. Име што се решава и во запис A и во AAAA може да стигне до две различни предни страни, и само една од нив може да биде домаќинот до кој имате пристап преку лушпа. Прелистувач зад прокси може повторно да тргне по трет пат. Погодувањето кој од нив го создал предупредувањето го троши единственото набљудување што го имате.

Потоа повторете го ракувањето со раце од машина на истиот пат, изречно наведувајќи ја адресата и испраќајќи го предвиденото име на серверот за одговорот да ја одразува страницата, а не стандардниот домаќин.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Споредете ги алтернативните имиња на субјектот и отпечатокот со сертификатот што го очекувате, а не со познат издавач. Поврзувањето со гол адрес без името на серверот може да избере стандарден сертификат, кој потоа изгледа како погрешна датотека кога всушност прашањето е погрешно.

Определете го процесот врзан за таа порта

На домаќинот што треба да ја прими врската, наведете ги слушачите и забележете ја адресата на врзување, семејството адреси и сопственикот на процесот. Услуга врзана за адресата на повратна јамка не е иста како онаа врзана за сите интерфејси, а објавувањето контејнер може да го смести јавниот слушач сосема на друго место.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Ако TLS го завршува балансер на оптоварување или прокси напред, застанете овде и наместо тоа прегледајте ја таа предна страна. Примерокот на Apache зад него може никогаш да не претстави сертификат на јавен прелистувач, така што уредувањето на неговата конфигурација не менува ништо од она што го гледа прелистувачот. Прегледот на сокетите и надворешното ракување мора да го опишуваат истиот пат, и токму тоа го утврдува оваа споредба.

Спојте го виртуелниот домаќин пред датотеката

Кога Apache е завршниот, прашајте го кој виртуелен домаќин победува за таа адреса и име. Контролната команда го печати ефективниот распоред, вклучувајќи ја групата што одговара на секој сокет, декларираните имиња на сервери и домаќинот што се третира како стандарден. Уредувањето на датотека со сертификат без тој одговор е начинот на кој погрешната страница почнува да се служи од правилна датотека.

sudo apachectl -S

Често поставувани прашања за SSL во Apache објаснуваат како назнаката за име на сервер избира сертификат. Заглавието Host на HTTP пристигнува по ракувањето и не може накнадно да го измени она што веќе е претставено, така што несовпаѓачко или отсутно име се враќа на стандардниот домаќин.

Именуван виртуелен домаќин со печатна грешка во ServerAlias го создава точно овој симптом, а истото го прави и втора конфигурациска датотека што прво вчитува домаќин што фаќа сѐ. Двете се видливи во тој список на распоред.

Проверете ја поправката на секој тврден пат

По одобрена промена, повторете ја проверката специфична за името на домаќинот за секое семејство адреси и завршете со вообичаената валидација на прелистувачот наместо со знаменце за заобиколување. Зачувајте одделна административна патека пред да ги допрете споделените поставки на слушачот, бидејќи грешка таму го отстранува пристапот што би го користеле за да ја вратите. Потоа запишете кој слушач одговори, кој виртуелен домаќин се совпадна и кој сертификат беше сервиран пред и потоа.

Отстранувањето пакет може да го промени распоредот и да го остави првобитното несовпаѓање необјаснето, поради што тој запис ја надживува поправката.

Она што го сакате е предвидената страница на предвидената влезна точка. Различен сертификат откако исчезна неповрзана услуга не е тој резултат, дури и кога прелистувачот престанува да се жали.