Sertifikaatfoute wanneer jy ’n instaanbediener gebruik
Bepaal voor jy sertifikaatinstellings verander of die verifikasie van die TLS-verbinding met die instaanbediener self of met die teikenwebwerf misluk het.
Vind uit watter TLS-handdruk misluk het voordat jy ’n CA-bundel verander. Die instaanbedienersertifikaat en webwerfsertifikaat kan op verskillende verbindings nagegaan word.
| Instaanbediener en teiken | TLS-kontroles |
|---|---|
| HTTP-instaanbediener na ’n HTTPS-teiken | Verifieer die teikensertifikaat ná CONNECT deur die tonnel. |
| HTTPS-instaanbediener na ’n HTTPS-teiken | Verifieer eers TLS na die instaanbediener; verifieer die afsonderlike TLS-sessie na die teiken nadat die tonnel oop is. |
Gebruik die breedvoerige nasporing om die aangevraagde gasheernaam en laaste voltooide handdruk te vind. ’n Sertifikaatfout by ’n HTTPS-instaanbediener kan voorkom voordat die webwerf gekontak word. Kontroleer die bedoelde naam vir daardie verbinding, die sertifikaat se geldigheidstydperk, die plaaslike horlosie, die verwagte ketting en die goedgekeurde vertrouensbewaarplek. Sluit doelbewus ingestelde TLS-onderskepping of bygevoegde wortelsertifikate by die ondersoek in.
curl bied afsonderlike CA-opsies vir die twee verbindings:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert voorsien vertroue vir die instaanbediener; --cacert vir die teiken. Vervang die voorbeeld se eindpunt en lêers met waardes uit die vertrouensopstelling wat jy beoog. Eie bundels is onnodig wanneer die stelsel se vertroue reeds voldoende is.
Om ’n gasheernaam met ’n willekeurige IP te vervang, verander sertifikaatpassing. Om verifikasie oor te slaan, kan die fout versteek sonder om die ander kant se identiteit vas te stel. Vir ’n onbekende instaanbediener is ’n versoek om sy wortel-CA te installeer nie genoeg rede om hom te vertrou nie.
’n Geweierde poortverbinding of verwerpte CONNECT hoort by ’n vroeër stadium; sertifikaatveranderings kan dit nie oplos nie. Omgekeerd hoort ’n webwerf se HTTP-fout ná geverifieerde teiken-TLS by die ontvangde antwoord, nie by nog ’n CA-aanpassing nie.