web-dev-qa-db-fra.com

Pourquoi Apache httpd me dit-il que mes virtuels basés sur le nom ne fonctionne que avec des crowers activés SNI (RFC 4366)

Pourquoi Apache me donne-t-il ce message d'erreur dans mes journaux? Est-ce un faux positif?

[warn] Init: Name-based SSL virtual hosts only work for clients with TLS server name indication support (RFC 4366)

J'ai récemment mis à niveau de Centos 5.7 à 6.3 et à celui de la version httpd plus récente. J'ai toujours fait mes configurations SSL VirtualHost comme ci-dessous. Lorsque tous les domaines partagent le même certificat (Certs surtout/Toujours Wildcard) partagent la même adresse IP. Mais jamais obtenu ce message d'erreur avant (ou ai-je, peut-être que je n'ai peut-être pas regardé assez dans mes journaux?) D'après ce que j'ai appris cela devrait fonctionner sans Sni (indication du nom du serveur)

Voici des parties pertinentes de mon fichier httpd.conf. Sans ce virtualhost, je ne reçois pas le message d'erreur.

NameVirtualHost 10.101.0.135:443

<VirtualHost 10.101.0.135:443>
  ServerName sub1.domain.com

  SSLEngine on
  SSLProtocol -all +SSLv3 +TLSv1
  SSLCipherSuite ALL:!aNull:!EDH:!DH:!ADH:!eNull:!LOW:!EXP:RC4+RSA+SHA1:+HIGH:+MEDIUM
  SSLCertificateFile /opt/RootLive/etc/ssl/ssl.crt/wild.fareoffice.com.crt
  SSLCertificateKeyFile /opt/RootLive/etc/ssl/ssl.key/wild.fareoffice.com.key
  SSLCertificateChainFile /opt/RootLive/etc/ssl/ca/geotrust-ca.pem
</VirtualHost>

<VirtualHost 10.101.0.135:443>
  ServerName sub2.domain.com

  SSLEngine on
  SSLProtocol -all +SSLv3 +TLSv1
  SSLCipherSuite ALL:!aNull:!EDH:!DH:!ADH:!eNull:!LOW:!EXP:RC4+RSA+SHA1:+HIGH:+MEDIUM
  SSLCertificateFile /opt/RootLive/etc/ssl/ssl.crt/wild.fareoffice.com.crt
  SSLCertificateKeyFile /opt/RootLive/etc/ssl/ssl.key/wild.fareoffice.com.key
  SSLCertificateChainFile /opt/RootLive/etc/ssl/ca/geotrust-ca.pem
</VirtualHost>
httpdssl-certificatesni
9
Arlukin

C'est parce que votre directive VirtualHost ne correspond pas à votre directive ServerName et/ou au CN du certificat. Tous les trois doivent être identiques, à moins que vous n'ayez un certificat de carte générique où les portions non sauvages doivent être identiques.

7
bahamat

Ce n'est pas une erreur, c'est un message d'avertissement.

Et vous l'obtenez parce que 1) Vous avez mis à jour votre version Apache et 2) Vous avez 2 virtualhostes SSL utilisant la même adresse IP exacte (par opposition à l'utilisation de 2 IPS).

Puisque vous partageez la propriété intellectuelle, les navigateurs sans support SNI ne seront que le premier site Web et jamais le second.

3
rightstuff