Strona pokazuje zły certyfikat? Znajdź proces nasłuchujący

Instalacja oprogramowania VPN na hostingu może przestawić usługi, ale nieoczekiwany certyfikat nie dowodzi, że pliki Apache zostały nadpisane. Coś przedstawiło ten certyfikat Twojej przeglądarce, a pierwszym zadaniem jest nazwanie tego. Dopóki proces nasłuchujący i host wirtualny nie zostaną wskazane, każda naprawa jest domysłem zastosowanym do niewłaściwej warstwy. Całe poniższe sprawdzenie jest tylko do odczytu.

Nic nie jest restartowane, odinstalowywane ani nadpisywane, gdy zbierasz fakty, które rozstrzygają sprawę.

Odczytaj certyfikat, który przeglądarka faktycznie otrzymała

Zapisz nazwę hosta, rozwiązywany adres dla każdej rodziny, port oraz szczegóły certyfikatu, na które skarżyła się przeglądarka. Nazwa rozwiązująca się zarówno na rekord A, jak i AAAA może dotrzeć do dwóch różnych frontów, a tylko jeden z nich może być hostem, do którego masz dostęp przez powłokę. Przeglądarka za serwerem proxy może obrać jeszcze trzecią drogę. Zgadywanie, który z nich wytworzył ostrzeżenie, marnuje jedyne dostępne spostrzeżenie.

Następnie odtwórz uzgadnianie z maszyny na tej samej ścieżce, podając adres wprost i wysyłając zamierzoną nazwę serwera, aby odpowiedź odzwierciedlała witrynę, a nie domyślnego hosta.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Porównaj alternatywne nazwy podmiotu i odcisk palca z certyfikatem, którego oczekujesz, a nie ze znanym wystawcą. Połączenie z gołym adresem bez nazwy serwera może wybrać certyfikat domyślny, który wtedy wygląda jak niewłaściwy plik, gdy w rzeczywistości niewłaściwe jest pytanie.

Wskaż proces przypisany do tego portu

Na hoście, który powinien przyjąć połączenie, wylistuj nasłuchujące procesy i zapisz adres przypisania, rodzinę adresów i właściciela procesu. Usługa przypisana do adresu pętli zwrotnej to nie to samo co przypisana do wszystkich interfejsów, a publikacja kontenera może umieścić publiczny proces nasłuchujący zupełnie gdzie indziej.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Jeśli TLS kończy równoważnik obciążenia lub stojący z przodu serwer proxy, zatrzymaj się tutaj i zbadaj raczej ten front. Instancja Apache za nim może nigdy nie przedstawić certyfikatu publicznej przeglądarce, więc edycja jej konfiguracji nie zmienia niczego, co widzi przeglądarka. Widok gniazd i zewnętrzne uzgadnianie muszą opisywać tę samą ścieżkę, i właśnie to ustala to porównanie.

Dopasuj host wirtualny przed plikiem

Gdy Apache jest terminatorem, zapytaj go, który host wirtualny wygrywa dla tego adresu i nazwy. Polecenie sterujące wypisuje efektywny układ, w tym grupę dopasowaną do każdego gniazda, zadeklarowane nazwy serwerów i hosta traktowanego jako domyślny. Edycja pliku certyfikatu bez tej odpowiedzi to sposób, w jaki niewłaściwa witryna zaczyna być obsługiwana z poprawnego pliku.

sudo apachectl -S

Najczęstsze pytania o SSL w Apache wyjaśniają, jak wskazanie nazwy serwera wybiera certyfikat. Nagłówek Host protokołu HTTP przychodzi po uzgadnianiu i nie może wstecznie zmienić tego, co już zostało przedstawione, więc niedopasowana lub brakująca nazwa wraca do hosta domyślnego.

Nazwany host wirtualny z literówką w ServerAlias daje dokładnie taki objaw, podobnie jak drugi plik konfiguracyjny, który najpierw wczytuje host przechwytujący wszystko. Oba są widoczne na tym wydruku układu.

Zweryfikuj poprawkę na każdej deklarowanej ścieżce

Po zatwierdzonej zmianie powtórz sprawdzenie właściwe dla nazwy hosta dla każdej rodziny adresów i zakończ zwykłą walidacją przeglądarki zamiast flagą obejścia. Zachowaj osobną ścieżkę administracyjną, zanim dotkniesz współdzielonych ustawień procesu nasłuchującego, ponieważ błąd tam usuwa dostęp, którego użyłbyś do cofnięcia zmiany. Następnie zapisz, który proces odpowiedział, który host wirtualny pasował i który certyfikat był serwowany przed i po.

Usunięcie pakietu może zmienić układ i pozostawić pierwotną niezgodność bez wyjaśnienia, dlatego ten zapis przeżywa naprawę.

Chcesz mieć zamierzoną witrynę w zamierzonym punkcie wejścia. Inny certyfikat po zniknięciu niepowiązanej usługi nie jest tym wynikiem, nawet gdy przeglądarka przestaje się skarżyć.