Nettstedet viser feil sertifikat? Finn lytteren

Å installere VPN-programvare på en webvert kan omorganisere tjenester, men et uventet sertifikat beviser ikke at Apache-filene er overskrevet. Noe presenterte det sertifikatet for nettleseren din, og den første oppgaven er å navngi det. Inntil lytteren og den virtuelle verten er identifisert, er hver reparasjon et gjetning anvendt på feil lag. Hele kontrollen nedenfor er skrivebeskyttet.

Ingenting startes på nytt, avinstalleres eller overskrives mens du samler faktaene som avgjør saken.

Les sertifikatet nettleseren faktisk fikk

Noter vertsnavnet, den oppløste adressen for hver familie, porten og sertifikatdetaljene nettleseren klaget over. Et navn som løses til både en A- og en AAAA-post kan nå to ulike fronter, og bare én av dem er kanskje verten du har skalltilgang til. En nettleser bak en proxy kan ta en tredje vei igjen. Å gjette hvilken som produserte advarselen sløser bort den eneste observasjonen du har.

Reproduser deretter håndtrykket fra en maskin på samme vei, navngi adressen eksplisitt og send det tiltenkte servernavnet slik at svaret gjenspeiler nettstedet og ikke standardverten.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Sammenlign de alternative subjektnavnene og fingeravtrykket med sertifikatet du forventer, ikke med en kjent utsteder. Å koble til en bar adresse uten servernavnet kan velge et standardsertifikat, som da ser ut som feil fil når det egentlig er feil spørsmål.

Identifiser prosessen som er bundet til den porten

På verten som skal motta tilkoblingen, list lytterne og noter bind-adressen, adressefamilien og prosesseieren. En tjeneste bundet til loopback-adressen er ikke det samme som en bundet til alle grensesnitt, og en containerpublisering kan plassere den offentlige lytteren helt andre steder.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Hvis TLS avsluttes av en lastbalanserer eller en proxy foran, stopp her og undersøk den fronten i stedet. Apache-forekomsten bak den presenterer kanskje aldri et sertifikat for en offentlig nettleser, så redigering av konfigurasjonen endrer ingenting av det nettleseren ser. Socket-visningen og håndtrykket utenfra må beskrive samme vei, og det er det denne sammenligningen fastslår.

Match den virtuelle verten før filen

Når Apache er terminatoren, spør den hvilken virtuell vert som vinner for den adressen og det navnet. Kontrollkommandoen skriver ut den effektive utformingen, inkludert gruppen som samsvarer med hver socket, de erklærte servernavnene og verten som behandles som standard. Å redigere en sertifikatfil uten det svaret er hvordan feil nettsted ender med å bli servert fra en korrekt fil.

sudo apachectl -S

Apaches SSL-FAQ forklarer hvordan servernavnangivelse velger et sertifikat. HTTP Host-headeren ankommer etter håndtrykket og kan ikke i ettertid endre det som allerede er presentert, så et navn som ikke samsvarer eller mangler faller tilbake på standardverten.

En navngitt virtuell vert med en skrivefeil i ServerAlias gir nøyaktig dette symptomet, og det gjør også en andre konfigurasjonsfil som laster en catch-all-vert først. Begge er synlige i den utformingslisten.

Verifiser rettelsen på hver vei du hevder

Etter en godkjent endring, gjenta den vertsnavnspesifikke kontrollen for hver adressefamilie og avslutt med nettleserens vanlige validering i stedet for et omgåelsesflagg. Bevar en egen administrasjonsvei før du berører delte lytterinnstillinger, fordi en feil der fjerner tilgangen du ville brukt til å angre den. Skriv deretter ned hvilken lytter som svarte, hvilken virtuell vert som samsvarte og hvilket sertifikat som ble servert før og etter.

Fjerning av en pakke kan endre utformingen og la den opprinnelige uoverensstemmelsen stå uforklart, og derfor overlever den registreringen reparasjonen.

Det du vil ha, er det tiltenkte nettstedet på det tiltenkte inngangspunktet. Et annet sertifikat etter at en urelatert tjeneste forsvant, er ikke det resultatet, selv når nettleseren slutter å klage.