Nettstaden viser feil sertifikat? Finn lyttaren

Å installere VPN-programvare på ein webvert kan omorganisere tenester, men eit uventa sertifikat beviser ikkje at Apache-filene er skrivne over. Noko presenterte det sertifikatet for nettlesaren din, og den første oppgåva er å namngi det. Inntil lyttaren og den virtuelle verten er identifiserte, er kvar reparasjon eit gjet anvendt på feil lag. Heile kontrollen nedanfor er skriveverna.

Ingenting blir starta på nytt, avinstallert eller skrive over medan du samlar faktaa som avgjer saka.

Les sertifikatet nettlesaren faktisk fekk

Noter vertsnamnet, den oppløyste adressa for kvar familie, porten og sertifikatdetaljane nettlesaren klaga over. Eit namn som løyser til både ein A- og ein AAAA-post kan nå to ulike frontar, og berre éin av dei er kanskje verten du har skaltilgang til. Ein nettlesar bak ein proxy kan ta ein tredje veg igjen. Å gjette kva for ein som skapte åtvaringa sløser bort den einaste observasjonen du har.

Reproduser deretter handtrykket frå ein maskin på same veg, namngi adressa eksplisitt og send det tiltenkte servernamnet slik at svaret speglar nettstaden og ikkje standardverten.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Samanlikn dei alternative subjektnamna og fingeravtrykket med sertifikatet du ventar, ikkje med ein kjend utsendar. Å kople til ei bar adresse utan servernamnet kan velje eit standardsertifikat, som då ser ut som feil fil når det eigentleg er feil spørsmål.

Identifiser prosessen som er bunden til den porten

På verten som skal ta imot tilkoplinga, list lyttarane og noter bind-adressa, adressefamilien og prosesseigaren. Ei teneste bunden til loopback-adressa er ikkje det same som ei bunden til alle grensesnitt, og ein containerpublisering kan plassere den offentlege lyttaren heilt andre stader.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Viss TLS blir avslutta av ein lastbalansar eller ein proxy framfor, stopp her og undersøk den fronten i staden. Apache-forekomsten bak han presenterer kanskje aldri eit sertifikat for ein offentleg nettlesar, så redigering av konfigurasjonen endrar ingenting av det nettlesaren ser. Socket-visninga og handtrykket utanfrå må skildre same veg, og det er det denne samanlikninga slår fast.

Match den virtuelle verten før fila

Når Apache er terminatoren, spør han kva for ein virtuell vert som vinn for den adressa og det namnet. Kontrollkommandoen skriv ut den effektive utforminga, inkludert gruppa som svarar til kvar socket, dei erklærte servernamna og verten som blir handsama som standard. Å redigere ei sertifikatfil utan det svaret er korleis feil nettstad endar med å bli servert frå ei korrekt fil.

sudo apachectl -S

Apaches SSL-FAQ forklarer korleis servernamnangiving vel eit sertifikat. HTTP Host-headeren kjem etter handtrykket og kan ikkje i ettertid endre det som allereie er presentert, så eit namn som ikkje svarar eller manglar fell tilbake på standardverten.

Ein namngitt virtuell vert med ein skrivefeil i ServerAlias gir nøyaktig dette symptomet, og det gjer òg ei andre konfigurasjonsfil som lastar ein catch-all-vert først. Begge er synlege i den utformingslista.

Verifiser rettinga på kvar veg du hevdar

Etter ei godkjend endring, gjenta den vertsnamnspesifikke kontrollen for kvar adressefamilie og avslutt med nettlesaren si vanlege validering i staden for eit omgåingsflagg. Ta vare på ein eigen administrasjonsveg før du rører delte lyttarinnstillingar, fordi ein feil der fjernar tilgangen du ville brukt til å angre han. Skriv deretter ned kva for ein lyttar som svara, kva for ein virtuell vert som svara til og kva for eit sertifikat som blei servert før og etter.

Fjerning av ein pakke kan endre utforminga og la den opphavlege uoverensstemminga stå uforklart, og difor overlever den registreringa reparasjonen.

Det du vil ha, er den tiltenkte nettstaden på det tiltenkte inngangspunktet. Eit anna sertifikat etter at ei urelatert teneste forsvann, er ikkje det resultatet, sjølv når nettlesaren sluttar å klage.