Mali ang certificate na ipinapakita ng site? Hanapin ang listener

Ang pag-install ng VPN software sa isang web host ay maaaring magmuling ayos ng mga serbisyo, ngunit hindi pinatutunayan ng hindi inaasahang certificate na ang mga file ng Apache ay muling isinulat. May nagpakita ng certificate na iyon sa iyong browser, at ang unang gawain ay pangalanan ito. Hanggang sa matukoy ang listener at ang virtual host, ang bawat pag-aayos ay haka-haka na inilalapat sa maling antas. Ang buong pagsusuri sa ibaba ay basahin lamang.

Walang ini-restart, ini-uninstall o isinusulat muli habang tinipon mo ang mga katotohanang magpapasya sa kaso.

Basahin ang certificate na aktuwal na natanggap ng browser

Itala ang hostname, ang naresolbang address para sa bawat pamilya, ang port at ang mga detalye ng certificate na inirereklamo ng browser. Ang pangalang nare-resolve sa parehong A at AAAA record ay maaaring makarating sa dalawang magkaibang harapan, at isa lamang sa kanila ang maaaring host kung saan mayroon kang shell access. Ang browser sa likod ng proxy ay maaaring kumuha muli ng ikatlong landas. Ang paghula kung alin ang gumawa ng babala ay nagsasayang ng nag-iisang obserbasyon na mayroon ka.

Pagkatapos ay muling gawin ang handshake mula sa isang makina sa parehong landas, tahasang pangalanan ang address at ipadala ang nilalayong server name upang ang sagot ay sumasalamin sa site at hindi sa default na host.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Ihambing ang mga alternatibong pangalan ng subject at ang fingerprint sa certificate na inaasahan mo, hindi sa isang pamilyar na issuer. Ang kumonekta sa hubad na address na walang server name ay maaaring pumili ng default na certificate, na pagkatapos ay mukhang maling file kung ang totoo ay mali ang tanong.

Tukuyin ang prosesong nakatali sa port na iyon

Sa host na dapat tumanggap ng koneksyon, ilista ang mga listener at itala ang bind address, ang pamilya ng address at ang may-ari ng proseso. Ang serbisyong nakatali sa loopback address ay hindi katulad ng nakatali sa lahat ng interface, at ang paglalathala ng container ay maaaring maglagay ng pampublikong listener sa ibang lugar nang lubusan.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Kung ang TLS ay tinatapos ng load balancer o proxy sa harapan, huminto dito at siyasatin ang harapang iyon sa halip. Maaaring hindi kailanman magpakita ng certificate sa pampublikong browser ang instans ng Apache sa likod nito, kaya walang binabago ang pag-edit sa configuration nito sa nakikita ng browser. Dapat ilarawan ng socket view at ng panlabas na handshake ang parehong landas, at iyon ang pinatutunayan ng paghahambing na ito.

Itugma ang virtual host bago ang file

Kapag Apache ang terminator, tanungin ito kung aling virtual host ang nananalo para sa address at pangalang iyon. Ang control command ay nagpi-print ng epektibong layout, kabilang ang grupong tumutugma sa bawat socket, ang mga idineklarang server name at ang host na itinuturing na default. Ang pag-edit ng certificate file nang walang sagot na iyon ang paraan kung paano napaglilingkuran ang maling site mula sa tamang file.

sudo apachectl -S

Ipinaliwanag ng Apache SSL FAQ kung paano pumipili ng certificate ang server name indication. Dumarating ang HTTP Host header pagkatapos ng handshake at hindi maaaring baguhin nang paurong ang naipakita na, kaya ang hindi tumutugmang o nawawalang pangalan ay bumabalik sa default na host.

Ang pinangalanang virtual host na may typo sa ServerAlias ay gumagawa ng eksaktong sintomas na ito, at gayundin ang pangalawang configuration file na unang naglo-load ng host na humuhuli sa lahat. Pareho silang nakikita sa listahan ng layout na iyon.

I-verify ang pag-aayos sa bawat landas na iginigiit mo

Pagkatapos ng aprubadong pagbabago, ulitin ang pagsusuring partikular sa hostname para sa bawat pamilya ng address at tapusin sa karaniwang validation ng browser sa halip na bypass flag. Panatilihin ang hiwalay na landas ng administrasyon bago hawakan ang mga shared setting ng listener, dahil ang pagkakamali doon ay nag-aalis ng access na gagamitin mo upang ibalik ito. Pagkatapos ay isulat kung aling listener ang sumagot, aling virtual host ang tumugma at aling certificate ang inihain bago at pagkatapos.

Ang pagtanggal ng package ay maaaring magbago ng layout at iwanang hindi maipaliwanag ang orihinal na hindi pagkakatugma, kaya't ang rekord na iyon ay mas matagal kaysa sa pag-aayos.

Ang gusto mo ay ang nilalayong site sa nilalayong entry point. Ang ibang certificate pagkatapos mawala ang walang kaugnayang serbisyo ay hindi ang resultang iyon, kahit tumigil sa pagrereklamo ang browser.