Spletno mesto prikazuje napačno potrdilo? Poiščite proces, ki posluša

Namestitev programske opreme VPN na spletnem gostitelju lahko preuredi storitve, vendar nepričakovano potrdilo ne dokazuje, da so bile datoteke Apache prepisane. Nekaj je to potrdilo predstavilo vašemu brskalniku, in prva naloga je, da to poimenujete. Dokler proces, ki posluša, in navidezni gostitelj nista določena, je vsako popravilo ugibanje, uporabljeno na napačnem sloju. Ves spodnji pregled je samo za branje.

Nič se ne znova zažene, odstrani ali prepiše, medtem ko zbirate dejstva, ki odločijo primer.

Preberite potrdilo, ki ga je brskalnik dejansko prejel

Zabeležite ime gostitelja, razrešeni naslov za vsako družino, vrata in podrobnosti potrdila, na katere se je brskalnik pritožil. Ime, ki se razreši v zapis A in AAAA, lahko doseže dva različna sprednja dela, in samo eden od njiju je morda gostitelj, do katerega imate dostop do lupine. Brskalnik za posrednikom lahko znova ubere tretjo pot. Ugibanje, kateri od njiju je povzročil opozorilo, zapravi edino opažanje, ki ga imate.

Nato ponovite rokovanje s stroja na isti poti, izrecno navedite naslov in pošljite predvideno ime strežnika, da bo odgovor odražal mesto in ne privzetega gostitelja.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Primerjajte alternativna imena subjekta in prstni odtis s potrdilom, ki ga pričakujete, ne s poznanim izdajateljem. Povezava z golim naslovom brez imena strežnika lahko izbere privzeto potrdilo, ki je potem videti kot napačna datoteka, ko je v resnici napačno vprašanje.

Določite proces, vezan na ta vrata

Na gostitelju, ki naj bi prejel povezavo, naštejte procese, ki poslušajo, in zabeležite naslov vezave, družino naslovov in lastnika procesa. Storitev, vezana na naslov povratne zanke, ni enaka tisti, ki je vezana na vse vmesnike, in objava vsebnika lahko javni proces, ki posluša, postavi povsem drugam.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Če TLS zaključuje porazdeljevalnik obremenitve ali posrednik spredaj, se ustavite tukaj in raje pregledajte ta sprednji del. Primerek Apache za njim morda nikoli ne predstavi potrdila javnemu brskalniku, zato urejanje njegove konfiguracije ne spremeni ničesar od tega, kar brskalnik vidi. Pogled na vtičnice in zunanje rokovanje morata opisovati isto pot, in prav to ugotavlja ta primerjava.

Ujemite navideznega gostitelja pred datoteko

Ko je Apache zaključevalec, ga vprašajte, kateri navidezni gostitelj zmaga za ta naslov in ime. Krmilni ukaz izpiše dejansko postavitev, vključno s skupino, ki se ujema z vsako vtičnico, deklariranimi imeni strežnikov in gostiteljem, ki se obravnava kot privzeti. Urejanje datoteke s potrdilom brez tega odgovora je način, kako se napačno mesto začne streči iz pravilne datoteke.

sudo apachectl -S

Pogosta vprašanja o SSL v Apacheu pojasnjujejo, kako navedba imena strežnika izbere potrdilo. Glava Host protokola HTTP prispe po rokovanju in ne more za nazaj spremeniti tega, kar je bilo že predstavljeno, zato neujemajoče ali manjkajoče ime pade na privzetega gostitelja.

Imenovani navidezni gostitelj s tipkarsko napako v ServerAlias ustvari natanko ta simptom, in enako stori druga konfiguracijska datoteka, ki najprej naloži gostitelja, ki ujame vse. Oba sta vidna na tem izpisu postavitve.

Preverite popravek na vsaki poti, ki jo trdite

Po odobreni spremembi ponovite pregled, specifičen za ime gostitelja, za vsako družino naslovov in končajte z običajnim preverjanjem brskalnika namesto z zastavico za obvoz. Pred posegom v skupne nastavitve procesa, ki posluša, ohranite ločeno pot za upravljanje, ker napaka tam odstrani dostop, ki bi ga uporabili za razveljavitev. Nato zapišite, kateri proces je odgovoril, kateri navidezni gostitelj se je ujemal in katero potrdilo je bilo postreženo prej in pozneje.

Odstranitev paketa lahko spremeni postavitev in pusti prvotno neskladje nepojasnjeno, zato ta zapis preživi popravilo.

Kar želite, je predvideno mesto na predvideni vstopni točki. Drugačno potrdilo po tem, ko je izginila nepovezana storitev, ni ta rezultat, tudi ko se brskalnik neha pritoževati.