Web sitesi yanlış sertifikayı mı gösteriyor? Dinleyiciyi bulun

VPN yazılımını bir web sunucusuna kurmak hizmetleri yeniden düzenleyebilir, ancak beklenmedik bir sertifika Apache dosyalarının yeniden yazıldığını kanıtlamaz. Bir şey o sertifikayı tarayıcınıza sundu ve ilk görev onu adlandırmaktır. Dinleyici ve sanal sunucu belirlenene kadar her onarım yanlış katmana uygulanan bir tahmindir. Aşağıdaki kontrolün tamamı yalnızca okuma amaçlıdır.

Davayı belirleyen gerçekleri toplarken hiçbir şey yeniden başlatılmaz, kaldırılmaz veya üzerine yazılmaz.

Tarayıcının gerçekte aldığı sertifikayı okuyun

Ana bilgisayar adını, her aile için çözümlenen adresi, bağlantı noktasını ve tarayıcının şikayet ettiği sertifika ayrıntılarını kaydedin. Hem A hem de AAAA kaydına çözümlenen bir ad iki farklı ön uca ulaşabilir ve bunlardan yalnızca biri kabuk erişiminiz olan sunucu olabilir. Proxy arkasındaki bir tarayıcı yine üçüncü bir yol izleyebilir. Uyarıyı hangisinin ürettiğini tahmin etmek, sahip olduğunuz tek gözlemi harcar.

Ardından el sıkışmayı aynı yoldaki bir makineden yeniden üretin, adresi açıkça belirtin ve amaçlanan sunucu adını gönderin; böylece yanıt varsayılan sunucuyu değil siteyi yansıtsın.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Konu alternatif adlarını ve parmak izini beklediğiniz sertifikayla karşılaştırın, tanıdık bir vericiyle değil. Sunucu adı olmadan çıplak bir adrese bağlanmak varsayılan bir sertifika seçebilir; bu sertifika o zaman yanlış dosya gibi görünür, oysa aslında yanlış olan sorudur.

Bu bağlantı noktasına bağlı süreci belirleyin

Bağlantıyı alması gereken sunucuda dinleyicileri listeleyin ve bağlama adresini, adres ailesini ve süreç sahibini not edin. Geri döngü adresine bağlı bir hizmet, tüm arabirimlere bağlı olanla aynı değildir ve bir kapsayıcı yayını genel dinleyiciyi tamamen başka bir yere koyabilir.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

TLS öndeki bir yük dengeleyici veya proxy tarafından sonlandırılıyorsa burada durun ve bunun yerine o ön ucu inceleyin. Arkasındaki Apache örneği genel bir tarayıcıya hiçbir zaman sertifika sunmayabilir; bu nedenle yapılandırmasını düzenlemek tarayıcının gördüğü hiçbir şeyi değiştirmez. Soket görünümü ve dış el sıkışma aynı yolu tanımlamalıdır ve bu karşılaştırmanın saptadığı şey tam olarak budur.

Dosyadan önce sanal sunucuyu eşleştirin

Apache sonlandırıcıysa ona o adres ve ad için hangi sanal sunucunun kazandığını sorun. Denetim komutu, her soketle eşleşen grup, bildirilen sunucu adları ve varsayılan olarak ele alınan sunucu dahil olmak üzere etkin düzeni yazdırır. Bir sertifika dosyasını bu yanıt olmadan düzenlemek, yanlış sitenin doğru bir dosyadan sunulmasının yoludur.

sudo apachectl -S

Apache SSL SSS, sunucu adı göstergesinin bir sertifikayı nasıl seçtiğini açıklar. HTTP Host başlığı el sıkışmadan sonra gelir ve zaten sunulmuş olanı geriye dönük değiştiremez; bu nedenle eşleşmeyen veya eksik bir ad varsayılan sunucuya düşer.

ServerAlias içinde yazım hatası olan adlandırılmış bir sanal sunucu tam bu belirtiyi üretir; ilk olarak her şeyi yakalayan bir sunucuyu yükleyen ikinci yapılandırma dosyası da aynısını yapar. İkisi de o düzen listesinde görünür.

Düzeltmeyi iddia ettiğiniz her yolda doğrulayın

Onaylanmış bir değişiklikten sonra, her adres ailesi için ana bilgisayar adına özgü kontrolü yineleyin ve atlama bayrağı yerine tarayıcının olağan doğrulamasıyla bitirin. Paylaşılan dinleyici ayarlarına dokunmadan önce ayrı bir yönetim yolu koruyun, çünkü oradaki bir hata, geri almak için kullanacağınız erişimi kaldırır. Ardından hangi dinleyicinin yanıt verdiğini, hangi sanal sunucunun eşleştiğini ve önce ve sonra hangi sertifikanın sunulduğunu yazın.

Bir paketin kaldırılması düzeni değiştirebilir ve özgün uyumsuzluğu açıklanmamış bırakabilir; bu kaydın onarımı aşmasının nedeni budur.

İstediğiniz şey, amaçlanan giriş noktasındaki amaçlanan sitedir. İlgisiz bir hizmet kaybolduktan sonra farklı bir sertifika bu sonuç değildir, tarayıcı şikayet etmeyi bıraksa bile.