У нас есть один пользователь, у которого возникла проблема с подключением к одному из наших серверов.
у нас есть сертификат подстановки: * .ourdomain.com
пользователь может перейти на d.ourdomain.com и в браузере не будет ошибок сертификата. но если они перейдут на i.ourdomain.com (который является конкретным сервером), они получат ошибку сертификата, в которой говорится, что корневой ЦС недействителен. Но это тот же сертификат, что и другой адрес, а эмитент, указанный в ошибке, указан в своей системе как доверенный центр сертификации?
Есть идеи, что посмотреть или какую дополнительную информацию я могу попытаться предоставить здесь, чтобы решить эту проблему?
это НИЗКИЙ приоритет, так как это единственный пользователь, у которого есть эта проблема, но все же хочет решить ее для этого пользователя, чтобы все наши пользователи были довольны.
Может быть, у пользователя кеширована старая версия сертификата, и он не видит текущую копию?
Например, в IE6 / 7 они могли
Затем попробуйте снова зайти на сайт.
Если они подтвердят, что находятся в IE6, попросите их перейти на IE7, если у вас нет проблем с устаревшим кодом, для которых требуется только IE 6. Если вы все-таки принудительно используете IE6, просто отправьте их на http://support.microsoft.com/kb/870700 и пусть они все сделают, если приведенная выше короткая версия не работает.
Если IE представляет собой проблему, вы также можете предложить им загрузить Firefox и посмотреть, как он там себя ведет.
Скорее всего, у вас нет необходимых сертификатов цепочки на этом конкретном сервере. Вы можете проверить это здесь: http://www.sslshopper.com/ssl-checker.html
Вам просто нужно установить промежуточные / цепные сертификаты, которые поставляются с вашим основным сертификатом от поставщика SSL, чтобы избавиться от ошибки.
Вот теория: пользователь, у которого возникла проблема, использует браузер, в котором нет цепочки подписи для вашего сертификата CA, и сервер для i.ourdomain.com не представляет промежуточный сертификат. Таким образом, исправление пользователя или сервера решило бы проблему.
Есть ли на сервере-нарушителе корневой сертификат, который использовался для подписи вашего сертификата с подстановочными знаками? Или какие-либо промежуточные сертификаты между этим и вашим подстановочным знаком? Я раньше ломал сайт таким образом.
Попробуйте экспортировать все сертификаты в цепочке с одного из серверов, который работает правильно, и импортировать их в соответствующие хранилища сертификатов на сервере, который не работает.