Web zobrazuje nesprávny certifikát? Nájdite proces, ktorý načúva

Inštalácia VPN softvéru na webhosting môže preusporiadať služby, ale neočakávaný certifikát nedokazuje, že súbory Apache boli prepísané. Niečo predložilo ten certifikát vášmu prehliadaču a prvou úlohou je pomenovať ho. Kým sa proces, ktorý načúva, a virtuálny hostiteľ neurčia, každá oprava je odhad aplikovaný na nesprávnu vrstvu. Celá kontrola nižšie je len na čítanie.

Nič sa nereštartuje, neodstraňuje ani neprepisuje, kým zhromažďujete fakty, ktoré rozhodnú prípad.

Prečítajte certifikát, ktorý prehliadač skutočne dostal

Zapíšte názov hostiteľa, preloženú adresu pre každú rodinu, port a podrobnosti certifikátu, na ktoré sa prehliadač sťažoval. Názov, ktorý sa prekladá na záznam A aj AAAA, môže dosiahnuť dva rôzne čelné konce a iba jeden z nich môže byť hostiteľ, na ktorý máte shellový prístup. Prehliadač za proxy môže ísť znova treťou cestou. Hádanie, ktorý z nich spôsobil varovanie, plytvá jediným pozorovaním, ktoré máte.

Potom zopakujte handshake zo stroja na tej istej ceste, výslovne uveďte adresu a odošlite zamýšľaný názov servera, aby odpoveď odrážala stránku, nie predvoleného hostiteľa.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Porovnajte alternatívne názvy subjektu a odtlačok s certifikátom, ktorý očakávate, nie so známym vydavateľom. Pripojenie k holému portu bez názvu servera môže vybrať predvolený certifikát, ktorý potom vyzerá ako nesprávny súbor, keď je v skutočnosti nesprávna otázka.

Určte proces viazaný na tento port

Na hostiteľovi, ktorý má spojenie prijať, vypíšte načúvajúce procesy a poznačte bind adresu, rodinu adries a vlastníka procesu. Služba viazaná na adresu loopback nie je to isté ako služba viazaná na všetky rozhrania a publikovanie kontajnera môže verejný načúvajúci proces umiestniť úplne inam.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Ak TLS ukončuje vyvažovač záťaže alebo proxy vpredu, zastavte sa tu a preskúmajte namiesto toho tento čelný koniec. Inštancia Apache za ním nemusí nikdy predložiť certifikát verejnému prehliadaču, takže úprava jej konfigurácie nemení nič, čo prehliadač vidí. Pohľad na sockety a vonkajší handshake musia opisovať tú istú cestu a práve to zisťuje toto porovnanie.

Zlaďte virtuálneho hostiteľa pred súborom

Keď je Apache ukončovacím prvkom, opýtajte sa ho, ktorý virtuálny hostiteľ vyhráva pre túto adresu a názov. Riadiaci príkaz vypíše efektívne rozvrhnutie vrátane skupiny priradenej každému socketu, deklarovaných názvov serverov a hostiteľa, ktorý sa považuje za predvolený. Úprava súboru certifikátu bez tejto odpovede je spôsob, akým sa nesprávna stránka začne obsluhovať zo správneho súboru.

sudo apachectl -S

Časté otázky k SSL v Apache vysvetľujú, ako indikácia názvu servera vyberá certifikát. Hlavička Host protokolu HTTP prichádza po handshake a nemôže spätne zmeniť to, čo už bolo predložené, takže nezhodujúci sa alebo chýbajúci názov padá na predvoleného hostiteľa.

Virtuálny hostiteľ s preklepom v ServerAlias vytvára presne tento príznak a to isté robí druhý konfiguračný súbor, ktorý ako prvý načíta hostiteľa zachytávajúceho všetko. Oba sú v tomto výpise rozvrhnutia viditeľné.

Overte opravu na každej ceste, ktorú tvrdíte

Po schválenej zmene zopakujte kontrolu špecifickú pre názov hostiteľa pre každú rodinu adries a skončite bežnou validáciou prehliadača namiesto prepínača na obchádzanie. Pred zásahom do zdieľaného nastavenia načúvajúcich procesov si zachovajte samostatnú administratívnu cestu, pretože chyba tam odstráni prístup, ktorý by ste použili na vrátenie zmeny. Potom zapíšte, ktorý proces odpovedal, ktorý virtuálny hostiteľ sedel a ktorý certifikát bol poskytnutý pred a po.

Odstránenie balíka môže zmeniť rozvrhnutie a pôvodný nesúlad nechať nevysvetlený, a preto tento záznam prežije opravu.

Chcete zamýšľanú stránku na zamýšľanom vstupnom bode. Iný certifikát po tom, čo zmizla nesúvisiaca služba, nie je týmto výsledkom, ani keď si prehliadač prestane sťažovať.