Сајт приказује погрешан сертификат? Пронађите слушаоца

Инсталирање VPN софтвера на веб домаћину може преуредити услуге, али неочекивани сертификат не доказује да су датотеке Apache преписане. Нешто је тај сертификат представило вашем прегледачу, и први задатак је да га именујете. Док се слушалац и виртуелни домаћин не идентификују, свака поправка је претпоставка примењена на погрешан слој. Цела провера испод је само за читање.

Ништа се не рестартује, деинсталира ни преписује док прикупљате чињенице које одлучују случај.

Прочитајте сертификат који је прегледач заиста добио

Забележите име домаћина, разрешену адресу за сваку фамилију, порт и детаље сертификата на које се прегледач пожалио. Име које се разрешава и на A и на AAAA запис може стићи до два различита предња краја, а само један од њих може бити домаћин на којем имате приступ љусци. Прегледач иза проксија може поново кренути трећим путем. Нагађање који је од њих произвео упозорење троши једино запажање које имате.

Затим поновите руковање са машине на истом путу, изричито наводећи адресу и шаљући намеравано име сервера да би одговор одражавао сајт, а не подразумеваног домаћина.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Упоредите алтернативна имена субјекта и отисак са сертификатом који очекујете, а не са познатим издаваоцем. Повезивање са голим адресом без имена сервера може изабрати подразумевани сертификат, који онда изгледа као погрешна датотека када је у ствари питање погрешно.

Идентификујте процес везан за тај порт

На домаћину који треба да прими везу, наведите слушаоце и забележите адресу везивања, фамилију адреса и власника процеса. Услуга везана за адресу повратне петље није иста као она везана за све интерфејсе, а објављивање контејнера може поставити јавног слушаоца сасвим на друго место.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Ако TLS завршава балансер оптерећења или прокси напред, зауставите се овде и наместо тога прегледајте тај предњи крај. Примерак Apache-а иза њега можда никада не представи сертификат јавном прегледачу, тако да уређивање његове конфигурације не мења ништа од онога што прегледач види. Приказ сокета и спољно руковање морају описивати исти пут, и управо то утврђује ово поређење.

Упоредите виртуелног домаћина пре датотеке

Када је Apache завршни, питајте га који виртуелни домаћин побеђује за ту адресу и име. Контролна команда штампа ефективни распоред, укључујући групу која одговара сваком сокету, декларисана имена сервера и домаћина који се третира као подразумевани. Уређивање датотеке сертификата без тог одговора је начин на који погрешан сајт почиње да се служи из исправне датотеке.

sudo apachectl -S

Често постављана питања о SSL-у у Apache-у објашњавају како ознака имена сервера бира сертификат. Заглавље Host протокола HTTP стиже после руковања и не може накнадно да промени оно што је већ представљено, тако да се неодговарајуће или одсутно име враћа на подразумеваног домаћина.

Именовани виртуелни домаћин са грешком у куцању у ServerAlias производи тачно овај симптом, као и други конфигурациони фајл који прво учита домаћина који хвата све. Оба су видљива у том списку распореда.

Проверите поправку на сваком тврђеном путу

После одобрене промене поновите проверу специфичну за име домаћина за сваку фамилију адреса и завршите уобичајеном валидацијом прегледача уместо заставицом за заобилажење. Сачувајте одвојен административни пут пре него што дотакнете дељена подешавања слушаоца, јер грешка тамо уклања приступ који бисте користили да то поништите. Затим запишите који слушалац је одговорио, који виртуелни домаћин се поклопио и који сертификат је сервиран пре и после.

Уклањање пакета може променити распоред и оставити првобитну неусаглашеност необјашњену, због чега тај запис надживљава поправку.

Оно што желите је намеравани сајт на намераваној улазној тачки. Другачији сертификат након што је нестала неповезана услуга није тај резултат, чак и када прегледач престане да се жали.