Trang web hiển thị sai chứng chỉ? Tìm trình lắng nghe

Cài đặt phần mềm VPN trên một máy chủ web có thể sắp xếp lại các dịch vụ, nhưng một chứng chỉ bất ngờ không chứng minh rằng các tệp Apache đã bị ghi đè. Một thứ gì đó đã trình chứng chỉ đó cho trình duyệt của bạn, và nhiệm vụ đầu tiên là đặt tên cho nó. Cho đến khi trình lắng nghe và máy chủ ảo được xác định, mọi sửa chữa đều là phỏng đoán áp dụng cho sai lớp. Toàn bộ bước kiểm tra bên dưới chỉ để đọc.

Không có gì bị khởi động lại, gỡ cài đặt hay ghi đè trong khi bạn thu thập các sự kiện quyết định vụ việc.

Đọc chứng chỉ mà trình duyệt thực sự nhận được

Ghi lại tên máy chủ, địa chỉ đã phân giải cho mỗi họ, cổng và chi tiết chứng chỉ mà trình duyệt đã phàn nàn. Một tên phân giải thành cả bản ghi A và AAAA có thể đến hai giao diện khác nhau, và chỉ một trong số đó có thể là máy chủ mà bạn có quyền truy cập shell. Một trình duyệt sau proxy có thể lại đi con đường thứ ba. Đoán xem cái nào tạo ra cảnh báo sẽ lãng phí quan sát duy nhất mà bạn có.

Sau đó tái tạo lại quá trình bắt tay từ một máy trên cùng đường đi, nêu rõ địa chỉ và gửi tên máy chủ dự định để câu trả lời phản ánh trang web chứ không phải máy chủ mặc định.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

So sánh các tên thay thế của chủ thể và dấu vân tay với chứng chỉ mà bạn mong đợi, không phải với một nhà phát hành quen thuộc. Kết nối tới một địa chỉ trần không có tên máy chủ có thể chọn một chứng chỉ mặc định, rồi trông giống như tệp sai trong khi thực ra câu hỏi mới là sai.

Xác định tiến trình gắn với cổng đó

Trên máy chủ lẽ ra phải nhận kết nối, hãy liệt kê các trình lắng nghe và ghi lại địa chỉ liên kết, họ địa chỉ và chủ sở hữu tiến trình. Một dịch vụ gắn với địa chỉ vòng lặp không giống với dịch vụ gắn với mọi giao diện, và việc xuất bản container có thể đặt trình lắng nghe công khai ở nơi hoàn toàn khác.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Nếu TLS được kết thúc bởi bộ cân bằng tải hoặc proxy phía trước, hãy dừng lại ở đây và kiểm tra giao diện phía trước đó thay vì. Phiên bản Apache phía sau có thể không bao giờ trình chứng chỉ cho trình duyệt công khai, nên việc sửa cấu hình của nó không thay đổi gì mà trình duyệt thấy. Chế độ xem socket và quá trình bắt tay bên ngoài phải mô tả cùng một đường đi, và đó là điều mà so sánh này xác lập.

Khớp máy chủ ảo trước tệp

Khi Apache là bộ kết thúc, hãy hỏi nó máy chủ ảo nào thắng cho địa chỉ và tên đó. Lệnh điều khiển in ra bố cục hiệu lực, bao gồm nhóm khớp với từng socket, các tên máy chủ được khai báo và máy chủ được coi là mặc định. Sửa tệp chứng chỉ mà không có câu trả lời đó là cách trang web sai cuối cùng được phục vụ từ một tệp đúng.

sudo apachectl -S

Câu hỏi thường gặp về SSL của Apache giải thích cách chỉ báo tên máy chủ chọn chứng chỉ. Tiêu đề Host của HTTP đến sau quá trình bắt tay và không thể thay đổi ngược lại những gì đã được trình bày, vì vậy một tên không khớp hoặc thiếu sẽ quay về máy chủ mặc định.

Một máy chủ ảo có tên bị lỗi đánh máy trong ServerAlias tạo ra chính triệu chứng này, và tệp cấu hình thứ hai tải một máy chủ bắt tất cả trước cũng vậy. Cả hai đều hiển thị trong danh sách bố cục đó.

Xác minh bản sửa trên từng đường đi bạn tuyên bố

Sau một thay đổi đã được phê duyệt, hãy lặp lại kiểm tra dành riêng cho tên máy chủ cho từng họ địa chỉ và kết thúc bằng xác thực thông thường của trình duyệt thay vì cờ bỏ qua. Giữ một đường quản trị riêng trước khi chạm vào cài đặt trình lắng nghe dùng chung, vì một sai sót ở đó sẽ loại bỏ quyền truy cập mà bạn sẽ dùng để hoàn tác. Sau đó ghi lại trình lắng nghe nào đã phản hồi, máy chủ ảo nào khớp và chứng chỉ nào được phục vụ trước và sau.

Việc xóa một gói có thể thay đổi bố cục và để lại sự không khớp ban đầu mà không được giải thích, đó là lý do bản ghi đó tồn tại lâu hơn bản sửa.

Điều bạn muốn là trang web dự định ở điểm vào dự định. Một chứng chỉ khác sau khi một dịch vụ không liên quan biến mất không phải là kết quả đó, ngay cả khi trình duyệt ngừng phàn nàn.