Laman web memaparkan sijil yang salah? Cari pendengar

Memasang perisian VPN pada hos web boleh menyusun semula perkhidmatan, tetapi sijil tidak dijangka tidak membuktikan fail Apache telah ditulis semula. Sesuatu mengemukakan sijil itu kepada pelayar anda, dan tugas pertama ialah menamakannya. Sehingga pendengar dan hos maya dikenal pasti, setiap pembaikan ialah tekaan yang digunakan pada lapisan yang salah. Keseluruhan pemeriksaan di bawah adalah baca sahaja.

Tiada apa-apa dimulakan semula, dinyahpasang atau ditimpa semasa anda mengumpul fakta yang menentukan kes itu.

Baca sijil yang benar-benar diterima oleh pelayar

Catat nama hos, alamat yang diselesaikan bagi setiap keluarga, port dan butiran sijil yang diadukan oleh pelayar. Nama yang diselesaikan kepada rekod A dan AAAA boleh mencapai dua hujung hadapan berbeza, dan hanya satu daripadanya mungkin hos yang anda mempunyai akses shell. Pelayar di belakang proksi boleh mengambil laluan ketiga sekali lagi. Meneka yang mana menghasilkan amaran itu membazirkan satu-satunya pemerhatian yang anda ada.

Kemudian hasilkan semula jabat tangan daripada mesin pada laluan yang sama, namakan alamat itu secara eksplisit dan hantar nama pelayan yang dimaksudkan supaya jawapan mencerminkan laman itu dan bukan hos lalai.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Bandingkan nama alternatif subjek dan cap jari dengan sijil yang anda jangkakan, bukan dengan pengeluar yang biasa. Menyambung ke alamat kosong tanpa nama pelayan boleh memilih sijil lalai, yang kemudian kelihatan seperti fail yang salah apabila sebenarnya soalan yang salah.

Kenal pasti proses yang terikat pada port itu

Pada hos yang sepatutnya menerima sambungan, senaraikan pendengar dan catat alamat ikatan, keluarga alamat dan pemilik proses. Perkhidmatan yang terikat pada alamat gelung balik bukan sama dengan yang terikat pada semua antara muka, dan penerbitan kontena boleh meletakkan pendengar awam di tempat yang sama sekali lain.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Jika TLS ditamatkan oleh pengimbang beban atau proksi di hadapan, berhenti di sini dan periksa hujung hadapan itu. Contoh Apache di belakangnya mungkin tidak pernah mengemukakan sijil kepada pelayar awam, jadi menyunting konfigurasinya tidak mengubah apa-apa yang dilihat pelayar. Paparan soket dan jabat tangan luaran mesti menerangkan laluan yang sama, dan itulah yang ditetapkan oleh perbandingan ini.

Padankan hos maya sebelum fail

Apabila Apache ialah penamat, tanya hos maya mana yang menang untuk alamat dan nama itu. Perintah kawalan mencetak susun atur berkesan, termasuk kumpulan yang dipadankan dengan setiap soket, nama pelayan yang diisytiharkan dan hos yang dianggap lalai. Menyunting fail sijil tanpa jawapan itu ialah cara laman yang salah akhirnya dilayan daripada fail yang betul.

sudo apachectl -S

Soalan Lazim SSL Apache menerangkan bagaimana petunjuk nama pelayan memilih sijil. Pengepala Host HTTP tiba selepas jabat tangan dan tidak boleh mengubah secara retroaktif apa yang sudah dikemukakan, jadi nama yang tidak sepadan atau tiada kembali kepada hos lalai.

Hos maya bernama dengan kesilapan taip dalam ServerAlias menghasilkan gejala ini dengan tepat, dan begitu juga fail konfigurasi kedua yang memuatkan hos penangkap semua dahulu. Kedua-duanya kelihatan dalam senarai susun atur itu.

Sahkan pembaikan pada setiap laluan yang anda dakwa

Selepas perubahan diluluskan, ulangi pemeriksaan khusus nama hos bagi setiap keluarga alamat dan akhiri dengan pengesahan biasa pelayar dan bukannya bendera pintasan. Kekalkan laluan pentadbiran berasingan sebelum menyentuh tetapan pendengar yang dikongsi, kerana kesilapan di situ menghapuskan akses yang anda akan gunakan untuk membatalkannya. Kemudian catat pendengar mana yang menjawab, hos maya mana yang sepadan dan sijil mana yang dilayan sebelum dan selepas.

Pembuangan pakej boleh mengubah susun atur dan membiarkan ketidakpadanan asal tanpa penjelasan, itulah sebabnya rekod itu bertahan lebih lama daripada pembaikan.

Yang anda mahukan ialah laman yang dimaksudkan di titik masuk yang dimaksudkan. Sijil berbeza selepas perkhidmatan tidak berkaitan hilang bukanlah hasil itu, walaupun pelayar berhenti mengeluh.