1

Добрый день. Вопрос такой, есть сервер дебиан, апач, мускул, на нем хосты.

Решил на один из хостов поставить ssl для доступа по https. Получилось:

1 - https ://site.com

n - http ://site2.com

Все хорошо, протокол поднялся и все работает. Но недавно заметил что так же протокол срабатывает и на другие домены, у которых нет ни ssl ни включенного https.

На сколько я понимаю причина в том что на 443 -й откликается сайт с ssl по https, но домен то не его, то есть https ://site.com должен отвечать, а https ://site2.com не должен так как у него нет сертификата.

То есть когда перехожу по https ://site2.com открывается контент первого сайта но домен в адресе https ://site2.com.

Собственно вопрос как правильно настроить, https так что бы другие сайты без ssl не отвечали на https запросы?

2
  • Я дополнил ответ, посмотрите, теперь должно помочь.
    – cronfy
    11 ноя 2016 в 13:15
  • Точно такая-же фигня, у меня все сайты на http, через такие виртуалхосты <VirtualHost *:80>. Добавил один virtualhost на ssl, 443-й порт <VirtualHost *:443>, теперь если на любой из http сайтов зайти через https, открывается этот единственный сайт на <VirtualHost *:443>. Я так и не понял, автор нашел решение? 5 июн 2018 в 14:29

1 ответ 1

1

Дело в том, что при подключении через SSL сначала устанавливается защищенное соединение по сертификату, и только потом происходит передача запроса, в том числе заголовка Host, указывающего, к какому сайту идет обращение. Поэтому если у вас на одном IP-адресе и порту висит несколько сайтов, все они будут открываться по сертификату, который настроен для этого IP/порта.

Вам необходимо явно указать, какой виртуальный хост отвечает на порту 443 (SSL), его имя должно быть таким же, как указано в сертификате. А для остальных виртуальных хостов явно прописать, что они должны слушать только порт 80.

Кроме того, важно учесть нюанс, что если в Apache пришел запрос на какой-то IP/порт с указанием заголовка Host: XXX, а он не смог найти для него виртуальный хост с ServerName XXX или ServerAlias XXX, то он передаст запрос на обработку в первый виртуальный хост, подходящий по IP/порту. Поэтому если вы хотите, чтобы при запросе несуществующего на данном IP/порту хоста отдавался не сайт, а какая-то заглушка, вам необходимо сконфигурировать VirtualHost с этой заглушкой и поставить ее раньше всех других VirtualHost на этом IP/порту.

Резюме:

Не делайте так

Не указывайте виртуальные хосты без указания порта.

<VirtualHost *>
    #       ^^^ нет порта!
    # это приведет к ошибкам/неожиданному поведению
</VirtualHost>

Указывайте порт для виртуальных хостов

<VirtualHost *:80>
    # сайт без SSL
    ...
</VirtualHost>

<VirtualHost *:443>
    # сайт с SSL
    ...
</VirtualHost>

Если используется несколько сертификатов SSL для разных сайтов, их нужно разнести на разные IP, например:

<VirtualHost 127.0.0.1:443>
    ServerName ssl-site1.com 
    ...
</VirtualHost>

<VirtualHost 127.0.0.2:443>
    ServerName ssl-site2.com
    ...
</VirtualHost>

Ну или на разные порты (443, 1443, 2443 и т. д.), но это не очень удобно.

Создайте заглушку для несуществующего сайта

Если вы не хотите, чтобы по запросу несуществующего сайта отдавался контент первого VirtualHost, подошедшего по IP/порту, сделайте на этом IP/порту заглушку и разместите ее перед остальными виртуальными хостами:

<VirtualHost *:443>
    # заглушка для SSL
    ServerName host-does-not-exist-stub.tech
    DocumentRoot /var/www/stub/public_html
    ...
</VirtualHost>

<VirtualHost *:443>
    # сайт с SSL
    ServerName real-ssl-site.ru
    DocumentRoot /var/www/real-ssl-site.ru/public_html
    ...
</VirtualHost>
7
  • Благодарен за внимание, но все же все хосты в формате <VirtualHost *:80> Сайт с ssl в формате: <IfModule mod_ssl.c> <VirtualHost *:443> с 80 - го редирект на https... Ситуация уходшается, так как другие сайты начали индексироватся с https + REQUEST_URI с сайта с https Вопрос как отделить https от остальных хостов....?
    – Netby
    10 ноя 2016 в 16:00
  • Напишите три ссылки: 1) сайт на ssl 2) два сайта, которые тоже открываются по ssl, но не должны.
    – cronfy
    10 ноя 2016 в 16:10
  • Пока временное решение выглядит так, но как по мне оно не грамотное... RewriteEngine On RewriteCond %{HTTP_HOST} !=site.com RewriteRule ^/(.*) http://%{HTTP_HOST}/$1 [R,L]
    – Netby
    11 ноя 2016 в 10:06
  • Так а существуют ли три ссылки, о которых я спрашивал? Это важно. Если неправильно по ssl отдается один (и только один) сайт, то это может быть первый виртуальный хост в апаче, ну или то, что открывается при входе просто по ip. Это один случай. Если сайтов несколько неправильно отдается, то это другой случай, надо внимательнее смотреть конфиг этих сайтов.
    – cronfy
    11 ноя 2016 в 10:58
  • Мне кажется, я понял. Сейчас дополню ответ.
    – cronfy
    11 ноя 2016 в 13:02

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.