1. Уважаемые посетители форума! Прежде чем помещать в форум новое сообщение о возникшей у Вас проблеме, пожалуйста, поищите ее решение в ответах на часто задаваемые вопросы FAQ, или воспользуйтесь поиском по форуму.
  2. Форум не является системой моментального ответа на вопросы. Если Вам необходимо получить ответ на ваш вопрос в кратчайшие сроки - пожалуйста, позвоните в ближайший к Вам региональный офис D-Link.
faq обучение настройка
Текущее время: Пт апр 19, 2024 22:38

Сообщения без ответов | Активные темы


Список форумов » Маршрутизаторы и Firewall

Часовой пояс: UTC + 3 часа




Начать новую тему Ответить на тему  Страница 1 из 2
  [ Сообщений: 18 ]  На страницу 1, 2  След.
  Предыдущая тема | Следующая тема 
Автор Сообщение
vgo
СообщениеДобавлено: Пн янв 22, 2018 16:17 
Не в сети

Зарегистрирован: Вт май 19, 2009 16:01
Сообщений: 290
Извините, но я голову себе уже сломал.

Прежде всего, у меня есть собственный центр сертификации, на котором я пеку сертификаты, в т.ч. и для DFL.
Там все делается на скриптах, то есть предполагается, что единообразно.

У меня есть несколько DFL-260E и одна 860E, работающих под старой прошивкой 2.40.04... В свое время я для них сгенерировал и установил сертификаты для https, все работало и работает.

На одну DFL я поставил новую прошивку 11.10.01.06-31274. Старая конфигурация подхватилась и работает.

Но уперся в невозможность поставить туда свежесгенерированный сертификат. Точнее, поставить могу, но не работает.

Конкретно ситуация такая:

1. С тем сертификатом, который был на нее установлен до обновления системы - работает и после обновления.
2. Если я этот сертификат экспортирую в файл, потом импортирую под новым именем, с ним тоже работает. Я пробовал и другие манипуляции с этим сертификатом, но мне не удалось придумать такую, чтобы он перестал работать.
3. С другими сертификатами с того же центра, как старыми (работающими на других DFL), так и новыми - не работает. Выдается ошибка браузера ERR_SSL_PROTOCOL_ERROR - и никакой дополнительной диагностики, никакой возможности проигнорировать...
4. На DFL со старой прошивкой новый сертификат работает, хотя, конечно, ругается, что не тот ip, ну, это понятно, но дальше пускает и работает.

Пробовал на разных браузерах, картина везде похожая:
Chrome: ERR_SSL_PROTOCOL_ERROR Сайт x.x.x.x отправил недействительный ответ.
MSIE: Не удается отобразить эту страницу
FF: SEC_ERROR_LIBRARY_FAILURE
Opera: Этот сайт не может обеспечить безопасное соединение

Настройки SSL на старых и новых прошивках - дефолтовые. Разницы в совпадающих пунктах не замечено.

Хотя бы в какую сторону копать? Я, наверное, буду разбирать и сравнивать по байтикам сертификаты работающие и не работающие - других мыслей нет. Но сомневаюсь, что это приведет к успеху. (((

Очень бы не хотелось возвращаться на старую прошивку, новая действительно интересная.


Последний раз редактировалось vgo Пн янв 22, 2018 17:15, всего редактировалось 2 раз(а).

Вернуться наверх
 Профиль  
 
СергейП
СообщениеДобавлено: Пн янв 22, 2018 16:24 
Не в сети

Зарегистрирован: Чт июн 28, 2012 09:45
Сообщений: 5908
А если импортировать новый сертификат в браузер?

_________________
Ответы на все вопросы здесь: http://www.dlink.ru/ru/contacts/
Вернуться наверх
 Профиль  
 
vgo
СообщениеДобавлено: Пн янв 22, 2018 16:34 
Не в сети

Зарегистрирован: Вт май 19, 2009 16:01
Сообщений: 290
СергейП писал(а):
А если импортировать новый сертификат в браузер?

В Chrome, вроде, сертификаты не импортируются. В Windows ставится без проблем. Но не помогает.
FF его импортировать не желает. Это интересно, но он также не желает импортировать и другие сертификаты из этой серии. А работает с ними успешно.
Вернуться наверх
 Профиль  
 
MTRX
СообщениеДобавлено: Пн янв 22, 2018 17:55 
Не в сети

Зарегистрирован: Пт июл 20, 2007 19:07
Сообщений: 8629
Откуда: Москва
Старый ключ 1022 bit уже не работает в большинстве браузеров при подключении к DFL.
Делайте ключ 2048 bit. И делайте уж лет на 10, чтобы не заморачиваться с этим вопросом в обозримой перспективе.
Я напек как горячих пирожков, на своем сертификатнике таких сертификатов - работают без проблем. Сделал батник и штампую :D

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...


Последний раз редактировалось MTRX Пн янв 22, 2018 18:17, всего редактировалось 1 раз.

Вернуться наверх
 Профиль  
 
vgo
СообщениеДобавлено: Пн янв 22, 2018 18:07 
Не в сети

Зарегистрирован: Вт май 19, 2009 16:01
Сообщений: 290
MTRX писал(а):
Старый ключ 1022 bit уже не работает в большинстве браузеров при подключении к DFL.
Делайте ключ 2048 bit. И делайте уж лет на 10, чтобы не заморачиваться с этим вопросом в обозримой перспективе.
Я напек как горячих пирожков, на своем сертификатнике таких сертификатов - работают без проблем.

Само собой.
Вот кое-что про сертификат (который не работает)
Цитата:
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 36 (0x24)
Signature Algorithm: sha256WithRSAEncryption
Issuer: C=RU, L=Moscow, O=OOO Stels, OU=CA, CN=OOO Stels CA
Validity
Not Before: Jan 19 13:00:39 2018 GMT
Not After : Jan 17 13:00:39 2028 GMT
Subject: C=RU, O=OOO Stels, CN=dfl_vb4
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Modulus:
00:bc:fc:8e:78:40:36:e9:5e:16:e6:52:24:7a:57:
37:85:c2:82:f6:cc:2f:44:da:3b:0a:0f:a7:d3:95:
b0:6a:18:e9:d8:58:5e:2f:38:fc:bf:b3:bf:1a:e9:
0b:d9:d7:9e:87:8b:12:e6:0b:25:29:ce:ed:23:60:
fc:51:ae:35:36:55:0f:c4:0e:38:ad:52:35:71:00:
20:da:2c:4c:94:25:b7:db:1d:3f:59:54:51:ab:2e:
9f:22:a8:06:5f:31:c1:58:12:75:6c:8a:41:5b:e9:
ca:56:5f:03:2c:08:bd:74:8e:4c:2b:41:1b:74:d3:
a8:28:d2:24:de:44:da:27:7f:12:26:27:96:fa:29:
f9:d6:be:50:17:82:16:eb:a2:92:1a:a9:07:9a:22:
2f:74:a2:f7:e3:cc:8a:eb:31:ca:56:c4:32:83:c2:
07:9b:31:d2:23:19:b5:33:3a:92:b3:14:f7:11:16:
2a:7b:87:da:b1:37:fb:e0:7f:30:b9:5f:e6:ad:47:
70:90:6d:8e:91:f7:b9:e9:a0:a8:b3:14:64:51:f0:
cb:a2:d9:d1:45:b2:ec:05:70:87:79:da:c6:94:0a:
43:73:ce:d8:73:fe:fb:eb:63:6e:18:86:96:2c:5d:
b3:d9:55:35:62:78:ed:cb:88:63:06:f7:6d:48:9f:
92:a5
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Subject Alternative Name:
IP Address:192.168.5.5, IP Address:178.57.87.174, DNS:vb4.stels.ru
Signature Algorithm: sha256WithRSAEncryption


А этот - работает:
Цитата:
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 35 (0x23)
Signature Algorithm: sha256WithRSAEncryption
Issuer: C=RU, L=Moscow, O=OOO Stels, OU=CA, CN=OOO Stels CA
Validity
Not Before: Jan 19 12:10:05 2018 GMT
Not After : Jan 17 12:10:05 2028 GMT
Subject: C=RU, O=OOO Stels, CN=testdfl
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Modulus:
00:d6:3a:5f:06:3e:09:16:2c:20:c3:eb:5e:9c:20:
5f:43:93:b5:4a:b8:99:f9:74:39:c0:ea:5b:08:33:
22:2f:35:17:23:d7:84:3c:c0:ca:52:09:24:78:58:
87:0c:a9:78:e0:55:19:f0:d5:77:bd:8c:20:50:2a:
94:bd:26:99:95:28:e5:66:47:b8:54:b9:a9:22:2d:
ac:80:1c:a8:e6:43:e5:5b:bd:44:d2:b2:4d:48:fe:
2f:93:c5:79:25:99:1f:c0:19:0b:cb:ce:b6:c3:72:
4e:73:e5:7c:77:ad:35:67:d4:30:f6:11:2c:e4:6b:
4d:a4:82:9b:8c:20:f2:91:4c:b3:66:77:79:f5:e3:
2a:af:91:ba:4c:b9:b4:b4:d7:c5:1f:43:83:1f:28:
d6:bb:ac:5c:c6:fe:84:42:a6:19:7c:09:d3:d7:78:
f0:a6:5c:ef:cd:c0:18:a4:47:0d:73:f6:c5:b8:64:
46:e8:b3:ef:35:d0:34:cb:ca:31:dd:dd:ea:3a:13:
0b:a9:a9:cf:a7:e4:75:4a:0b:9b:24:26:9c:36:c7:
65:ba:9a:ec:f9:36:6c:76:1b:6f:01:08:9a:b3:5e:
1f:f1:1c:ae:d2:80:8b:a4:e6:31:cb:75:4c:c7:a7:
3a:2f:42:7c:0a:7a:2a:b0:6d:e9:9e:d7:47:8f:ec:
8f:3b
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Subject Alternative Name:
DNS:vb4.stels.ru, IP Address:192.168.5.5, IP Address:178.57.87.174
Signature Algorithm: sha256WithRSAEncryption


Теперь надо смотреть уже побайтно и побитно, там еще 100500 параметров. ((
Вернуться наверх
 Профиль  
 
MTRX
СообщениеДобавлено: Пн янв 22, 2018 18:28 
Не в сети

Зарегистрирован: Пт июл 20, 2007 19:07
Сообщений: 8629
Откуда: Москва
АААААААААААА СТОП, ВСПОМНИЛ!!!!

System > Device > Remote Management > Advanced Settings > Remote Management Settings

В полях HTTPS Certificate: и HTTPS Root Certificates: указываете новый свежесгенерированный сертификат!

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...
Вернуться наверх
 Профиль  
 
vgo
СообщениеДобавлено: Пн янв 22, 2018 18:49 
Не в сети

Зарегистрирован: Вт май 19, 2009 16:01
Сообщений: 290
MTRX писал(а):
АААААААААААА СТОП, ВСПОМНИЛ!!!!

System > Device > Remote Management > Advanced Settings > Remote Management Settings

В полях HTTPS Certificate: и HTTPS Root Certificates: указываете новый свежесгенерированный сертификат!


Ну да, конечно, именно так я его и назначаю. Только в root я пишу root сертификат моего CA. Впрочем, туда можно ничего не писать, можно писать root, можно писать сертификат устройства. Это не мешало работать тому, что работает, и не помогало работать тому, что не работает (((

Генерировать, загружать в DFL и назначать на HTTPS сертификаты я вроде умею. Назначаются, факт. Но вот на новой прошивке работает только один из имеющихся у меня сертификатов.

Видимо, я его все-таки генерировал отдельно от других и что-то в консерватории поменял, а что - забыл. Это было больше полугода назад.
Вернуться наверх
 Профиль  
 
MTRX
СообщениеДобавлено: Пн янв 22, 2018 20:27 
Не в сети

Зарегистрирован: Пт июл 20, 2007 19:07
Сообщений: 8629
Откуда: Москва
Попробуй сгенерить сертификат v1, а не v3

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...
Вернуться наверх
 Профиль  
 
vgo
СообщениеДобавлено: Вт янв 23, 2018 01:19 
Не в сети

Зарегистрирован: Вт май 19, 2009 16:01
Сообщений: 290
MTRX писал(а):
Попробуй сгенерить сертификат v1, а не v3

Мне, к сожалению, нужен v3, требуется X509v3 Subject Alternative Name
К тому же у меня работает куча v3 сертификатов: и на других DFL все v3, и на этом тот, который работает - тоже v3.
Вернуться наверх
 Профиль  
 
MTRX
СообщениеДобавлено: Вт янв 23, 2018 07:40 
Не в сети

Зарегистрирован: Пт июл 20, 2007 19:07
Сообщений: 8629
Откуда: Москва
Ну, на этом у меня идеи заканчиваются...

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...
Вернуться наверх
 Профиль  
 
White Star
СообщениеДобавлено: Вт янв 23, 2018 07:58 
Не в сети

Зарегистрирован: Вт окт 21, 2014 16:50
Сообщений: 35
Сделайте так чтобы в этих строчках был одинаковый порядок

IP Address:192.168.5.5, IP Address:178.57.87.174, DNS:vb4.stels.ru
DNS:vb4.stels.ru, IP Address:192.168.5.5, IP Address:178.57.87.174
Вернуться наверх
 Профиль  
 
vgo
СообщениеДобавлено: Вт янв 23, 2018 09:55 
Не в сети

Зарегистрирован: Вт май 19, 2009 16:01
Сообщений: 290
Упс... вчера чуток промахнулся.
Вот работающий сертификат:
Цитата:
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 32 (0x20)
Signature Algorithm: sha256WithRSAEncryption
Issuer: C=RU, L=Moscow, O=OOO Stels, OU=CA, CN=OOO Stels CA
Validity
Not Before: Jun 11 06:24:18 2017 GMT
Not After : Jun 9 06:24:18 2027 GMT
Subject: C=RU, O=OOO Stels, CN=testvb0
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Modulus:
00:c5:3d:7f:dc:53:b0:43:26:6e:5e:7e:10:a7:cf:
7e:fd:26:85:b1:eb:60:50:81:b3:e1:00:f6:8e:70:
c9:23:5f:8a:56:6b:aa:81:e3:99:cc:2e:c0:56:f5:
61:ca:2e:fb:cd:cb:a9:6b:d1:81:3c:f3:2f:f5:1e:
23:7c:bf:c6:10:57:32:84:7b:66:b9:b5:07:16:27:
4a:06:5b:21:66:c5:ff:a2:19:9e:a0:e4:5c:db:10:
e0:da:e3:73:b0:d8:e3:48:fd:be:cb:e5:ea:3e:e5:
09:98:48:97:c5:e0:1d:ea:4f:08:5c:95:80:84:9e:
e0:19:4e:9b:7d:15:dd:b2:62:ac:89:5f:65:75:5e:
1c:6a:df:22:49:6a:a5:f7:c1:54:5b:91:be:ae:6d:
ed:46:cc:e6:11:1a:b1:27:ae:4c:be:51:52:f8:be:
1b:5f:1f:89:86:1b:76:bc:84:97:63:c4:7d:f7:45:
be:6a:e0:79:01:ed:99:5f:75:f5:e3:94:b1:ab:63:
32:d0:e3:55:1e:61:b7:ae:fc:17:dd:cc:0c:21:ad:
30:a9:ec:1f:8d:0a:d3:b1:61:2e:dc:2f:c1:bf:c1:
24:27:95:98:ac:79:ae:4d:51:13:06:d6:7e:26:80:
1d:e6:29:8a:fb:18:a5:dc:c3:66:a7:be:50:17:26:
cc:4d
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Subject Alternative Name:
IP Address:178.57.87.170, IP Address:192.168.5.5, DNS:vb0.stels.ru


Тот, который вчера написал как работающий - не работает тоже, это тоже новый.

Впрочем, разница, как видно, только в альтернативных именах, последней части subject и датах, что естественно. Ну и ключ другой, разумеется. Алгоритмы, размеры ключа - те же.
Собственно, потому его и понадобилось менять, что изменились альтернативные имена.
Уже подумал, что дело может быть и в common name, но, кажется, у DFL нет оснований предпочесть одно другому? Я искал и не нашел ничего, похожего на "имя устройства" в параметрах dfl.
Выпустить сертификат с таким же common name боюсь, потому что тогда действующий сертификат попадет в crl и может стать недействующим. Впрочем, попробовать можно.

Да, порядок в альтернативных именах поменять попробую, хотя это уже шаманство. Работающий сертификат работает по всем alt names, не работающий - не работает по всем.


Последний раз редактировалось vgo Вт янв 23, 2018 09:59, всего редактировалось 1 раз.

Вернуться наверх
 Профиль  
 
vgo
СообщениеДобавлено: Вт янв 23, 2018 09:58 
Не в сети

Зарегистрирован: Вт май 19, 2009 16:01
Сообщений: 290
White Star писал(а):
Сделайте так чтобы в этих строчках был одинаковый порядок

IP Address:192.168.5.5, IP Address:178.57.87.174, DNS:vb4.stels.ru
DNS:vb4.stels.ru, IP Address:192.168.5.5, IP Address:178.57.87.174


Вы правы, но, читая Ваше письмо, я понял, что вчера ошибся и не тот сертификат привел как работающий.
Это неприятно, но, тем самым, предлагаемый Вами эксперимент уже был поставлен и дал отрицательный результат.
Работающий:
IP Address:178.57.87.170, IP Address:192.168.5.5, DNS:vb0.stels.ru
НУ можно попробовать еще переставить местами IP адреса, сегодня сделаю. Хотя это уже выглядит шаманством чистой воды.
Вернуться наверх
 Профиль  
 
vgo
СообщениеДобавлено: Вт янв 23, 2018 11:11 
Не в сети

Зарегистрирован: Вт май 19, 2009 16:01
Сообщений: 290
Подробное сравнение дампа ASN.1 работающего (testvb0) и неработающего (dfl_vb4) сертификатов показало их полную идентичность за исключением тех полей, про которые и так известно, что они разные.
Что, собственно, и следовало ожидать: они из одного инкубатора ((

Дополнительно: с другого компьютера также не удалось поработать с неправильным сертификатом.
Вернуться наверх
 Профиль  
 
White Star
СообщениеДобавлено: Вт янв 23, 2018 11:50 
Не в сети

Зарегистрирован: Вт окт 21, 2014 16:50
Сообщений: 35
Что ж, Вам осталось прикрутить новый сертификат на другой сайт и сделать ожидаемый вывод что дело в Вашем ЦС. С корневыми сертификатами все в порядке? С датами?
Вернуться наверх
 Профиль  
 
Показать сообщения за:  Сортировать по:  
Начать новую тему Ответить на тему  Страница 1 из 2
  [ Сообщений: 18 ]  На страницу 1, 2  След.

Список форумов » Маршрутизаторы и Firewall

Часовой пояс: UTC + 3 часа


Кто сейчас на форуме

Сейчас этот форум просматривают: Majestic-12 [Bot] и гости: 118

Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения

Найти:
Перейти:  
Создано на основе phpBB® Forum Software © phpBB Group
Русская поддержка phpBB