Faqja tregon certifikatën e gabuar? Gjeni dëgjuesin

Instalimi i softuerit VPN në një host web mund të riorganizojë shërbimet, por një certifikatë e papritur nuk provon që skedarët Apache u rishkruan. Diçka e paraqiti atë certifikatë shfletuesit tuaj, dhe detyra e parë është ta emërtoni atë. Derisa dëgjuesi dhe hosti virtual të identifikohen, çdo riparim është një hamendje e zbatuar në shtresën e gabuar. I gjithë kontrolli më poshtë është vetëm lexim.

Asgjë nuk riniset, çinstalohet ose mbishkruhet ndërsa mblidhni faktet që vendosin rastin.

Lexoni certifikatën që shfletuesi mori në të vërtetë

Shënoni emrin e hostit, adresën e zgjidhur për çdo familje, portin dhe detajet e certifikatës për të cilat u ankua shfletuesi. Një emër që zgjidhet si në një regjistrim A ashtu edhe në AAAA mund të arrijë dy fronte të ndryshme, dhe vetëm njëri prej tyre mund të jetë hosti ku keni akses shell. Një shfletues pas një proxy mund të marrë përsëri një rrugë të tretë. Të hamendësosh se cili prej tyre prodhoi paralajmërimin harxhon vëzhgimin e vetëm që keni.

Pastaj riprodhoni shtrëngimin e duarve nga një makinë në të njëjtën rrugë, duke emërtuar shprehimisht adresën dhe duke dërguar emrin e synuar të serverit që përgjigjja të pasqyrojë faqen dhe jo hostin e parazgjedhur.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Krahasoni emrat alternativë të subjektit dhe gjurmën e gishtit me certifikatën që prisni, jo me një lëshues të njohur. Lidhja me një adresë të zhveshur pa emrin e serverit mund të zgjedhë një certifikatë të parazgjedhur, e cila më pas duket si skedari i gabuar kur në fakt pyetja është e gabuar.

Identifikoni procesin e lidhur me atë portë

Në hostin që duhet të marrë lidhjen, listoni dëgjuesit dhe shënoni adresën e lidhjes, familjen e adresave dhe pronarin e procesit. Një shërbim i lidhur me adresën e ciklit të kthimit nuk është i njëjtë me një të lidhur me të gjitha ndërfaqet, dhe një publikim kontejneri mund ta vendosë dëgjuesin publik krejt diku tjetër.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Nëse TLS përfundon nga një balancues ngarkese ose një proxy përpara, ndaloni këtu dhe inspektoni më mirë atë front. Instanca Apache pas tij mund të mos paraqesë kurrë një certifikatë për një shfletues publik, kështu që redaktimi i konfigurimit të saj nuk ndryshon asgjë nga ajo që shfletuesi sheh. Pamja e socket-eve dhe shtrëngimi i duarve i jashtëm duhet të përshkruajnë të njëjtën rrugë, dhe kjo është ajo që përcakton ky krahasim.

Përputhni hostin virtual para skedarit

Kur Apache është përfunduesi, pyeteni se cili host virtual fiton për atë adresë dhe emër. Komanda e kontrollit shtyp paraqitjen efektive, duke përfshirë grupin që përputhet me çdo socket, emrat e serverit të deklaruar dhe hostin që trajtohet si i parazgjedhur. Redaktimi i një skedari certifikate pa atë përgjigje është mënyra se si faqja e gabuar përfundon duke u shërbyer nga një skedar i saktë.

sudo apachectl -S

Pyetjet e shpeshta të SSL të Apache shpjegojnë se si treguesi i emrit të serverit zgjedh një certifikatë. Titulli Host i HTTP vjen pas shtrëngimit të duarve dhe nuk mund të ndryshojë në mënyrë retrospektive atë që është paraqitur tashmë, kështu që një emër që nuk përputhet ose mungon bie përsëri në hostin e parazgjedhur.

Një host virtual i emërtuar me një gabim shtypi në ServerAlias prodhon saktësisht këtë simptomë, dhe të njëjtën gjë bën një skedar i dytë konfigurimi që ngarkon së pari një host që kap gjithçka. Të dy janë të dukshëm në atë listë të paraqitjes.

Verifikoni korrigjimin në çdo rrugë që pretendoni

Pas një ndryshimi të miratuar, përsëritni kontrollin specifik të emrit të hostit për çdo familje adresash dhe përfundoni me validimin e zakonshëm të shfletuesit në vend të një flamuri anashkalimi. Ruani një rrugë të veçantë administrimi përpara se të prekni cilësimet e përbashkëta të dëgjuesit, sepse një gabim atje heq aksesin që do të përdornit për ta zhbërë. Pastaj shënoni cili dëgjues u përgjigj, cili host virtual përputhej dhe cila certifikatë u shërbye para dhe pas.

Heqja e një pakete mund të ndryshojë paraqitjen dhe të lërë mospërputhjen origjinale pa shpjegim, dhe prandaj ai regjistrim mbijeton riparimin.

Ajo që dëshironi është faqja e synuar në pikën e hyrjes së synuar. Një certifikatë tjetër pasi u zhduk një shërbim i palidhur nuk është ai rezultat, edhe kur shfletuesi ndalon së ankuari.