Может ли кто-нибудь помочь мне понять, как проверить, что мой сертификат SSL установлен правильно (или решить, почему это не так)?
Я установил SSL-сертификат GoDaddy на свой сервер Apache. Некоторые пользователи по-прежнему сообщают о проблемах (некоторые версии IE говорят «Эта страница не может быть отображена» без дополнительных объяснений), а openssl сообщает, что в цепочке есть «самоподписанный» сертификат. Обратите внимание, это не самоподписанный сертификат. Он подписан GoDaddy. В этой статье есть связанный ответ, который не сработал: https://stackoverflow.com/a/4106224/1723405
Вот шаги, которые я предпринял:
Шаг 1. Создайте закрытый ключ
openssl req -out CSR.csr -new -newkey rsa:2048 -nodes -keyout privateKey.key
Шаг 2. Перейдите в GoDaddy и повторно введите ключ, вставив CSR.csr
.
Шаг 3: Установите crt и файл пакета в Apache и перезапустите.
// In <VirtualHost>
SSLEngine on
SSLProtocol -ALL +SSLv3 +TLSv1
SSLCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:-LOW:-SSLv2:-EXP
SSLVerifyClient none
SSLCertificateFile /path/to/allthingsinsurance.net.crt
SSLCertificateKeyFile /path/to/privateKey.key
SSLCertificateChainFile /path/to/gd_bundle-g2.cr
% apachectl restart
Шаг 4: Перейдите на любой из нескольких компьютеров и не выполните проверку с помощью openssl.
% openssl s_client -connect allthingsinsurance.net:443 -showcerts -CApath /etc/ssl/certs
...lots of output, shows certs I installed...
Verify return code: 19 (self signed certificate in certificate chain)
Шаг 5. Перейдите в онлайн-сервисы проверки SSL и получите смешанные отчеты:
Если whynopadlock.com и ssltest.net жалуются на сертификат, а ssllabs.com говорит, что все в порядке, проверьте конфигурацию виртуальных хостов. SSLLabs.com поддерживает SNI, а whynopadlock.com, ssltest.net и более старые версии IE - нет.
Когда SNI не поддерживается клиентом, имя сервера не будет доступно для веб-сервера, который затем вернется к первому совпадающему виртуальному хосту. Возможно, у вас есть еще один виртуальный хост для тестирования, который имеет приоритет над вашим основным сайтом.
Решение состоит в том, чтобы изменить этот порядок или использовать выделенный IP-адрес для этого хоста.