SSL-Zert von Plesk wird angezeigt anstatt das der Domain

JoeMa · Dec 1st 2017

Hallo,

ich habe ein Let's Encrypt-Zertifikat für https://www.praxis-bergmann23.de/ eingerichtet und möchte nun (via Icinga2) überwachen, ob das Zertifikat noch gültig ist.

Wenn ich im Browser die Seite aufrufe, wird das Zertifikat für die Domain genutzt.

Wenn ich in Icinga2 oder auf der Kommandozeile prüfe, wird hingegen ein Zertifikat von Plesk genutzt:

Code

openssl s_client -connect www.praxis-bergmann23.de:443
CONNECTED(00000003)
depth=0 C = CH, L = Schaffhausen, O = Plesk, CN = Plesk, emailAddress = info@plesk.com
verify error:num=18:self signed certificate
verify return:1
depth=0 C = CH, L = Schaffhausen, O = Plesk, CN = Plesk, emailAddress = info@plesk.com
verify return:1
---
Certificate chain
 0 s:/C=CH/L=Schaffhausen/O=Plesk/CN=Plesk/emailAddress=info@plesk.com
   i:/C=CH/L=Schaffhausen/O=Plesk/CN=Plesk/emailAddress=info@plesk.com
---
Server certificate
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
[...]

Display More

Meine Frage:

Wie kann ich sicherstellen, dass das Zertifikat der Domain genutzt wird, sobald eine Anfrage an die Domain gesendet wird?

Vielen Dank und viele Grüße,

Jörg Maschtaler

CmdrXay · Dec 1st 2017

Hay,

jetzt komplett aus der Hüfte geschossen... vielleicht so: Plesk-Einstellungen - SSL/TLS-Zertifikate: "Zertifkat zum Schutz von Plesk" das Lets Encrypt aussuchen und weiter unten das Lets Encrypt markieren und "Als Standard verwenden"

pasted-from-clipboard.png

Deine openssl Anfrage an meinen Server sowohl Port 443 als auch 8443 liefert das Lets Encrypt Zertifikat.

An Port 8443 von Deinem Server wird allerdings noch ein drittes geschickt, nämlich eines von Geotrust über netcup.de.

Code

CONNECTED(00000003)
depth=2 C = US, O = GeoTrust Inc., CN = GeoTrust Global CA
verify return:1
depth=1 C = US, O = GeoTrust Inc., CN = GeoTrust SSL CA - G3
verify return:1
depth=0 C = DE, ST = Baden-Wuerttemberg, L = Karlsruhe, O = netcup GmbH, CN = *.netcup.net
verify return:1
---
Certificate chain
 0 s:/C=DE/ST=Baden-Wuerttemberg/L=Karlsruhe/O=netcup GmbH/CN=*.netcup.net
   i:/C=US/O=GeoTrust Inc./CN=GeoTrust SSL CA - G3
 1 s:/C=US/O=GeoTrust Inc./CN=GeoTrust SSL CA - G3
   i:/C=US/O=GeoTrust Inc./CN=GeoTrust Global CA

Display More

CU, Peter

Kraeutergarten · Dec 1st 2017

Versuchs mal mit

Code

openssl s_client -connect www.praxis-bergmann23.de:443 -servername www.praxis-bergmann23.de

Grund dafür ist, das die Server inwischen SNI für HTTPs verwenden.

JoeMa · Dec 2nd 2017

Hallo Peter und Kraeutergarten,

@ Peter

Danke für den Hinweis auf die Konfiguration. Ich habe sie noch mal geprüft und sie ist korrekt.

@ Kraeutergarten

Das war die Lösung.

Bash

$ /usr/lib/nagios/plugins/check_http -C 30,14 -H www.praxis-bergmann23.de 
OK - Certificate 'Plesk' will expire on Do 20 Sep 2018 12:42:00 CEST.
$ /usr/lib/nagios/plugins/check_http -C 30,14 -H www.praxis-bergmann23.de  --sni
OK - Certificate 'praxis-bergmann23.de' will expire on Do 22 Feb 2018 10:17:00 CET.

Danke euch beiden.

Viele Grüße,

Jörg

Tags