Khắc phục sự cố LDAPS/TLS/HAproxy, chứng chỉ SSL sai đang được sử dụng

Được rồi, tôi có hai máy chủ.. một máy chủ cũ (Ubuntu 16) và một máy chủ mới (Ubuntu 20).

Cả hai đều có Haproxy và trong cấu hình, chúng được liên kết với cùng một cổng và cùng chứng chỉ .PEM. Khi tôi kiểm tra chứng chỉ SSL bằng s_client của OpenSSL từ máy chủ Windows.. Tôi thấy chứng chỉ dự kiến ​​khi kiểm tra máy chủ cũ.. nhưng máy chủ mới vì lý do nào đó đang gửi chứng chỉ của máy chủ phụ trợ là chứng chỉ nội bộ.

Vì vậy, để giúp vẽ bức tranh, máy chủ cũ sẽ gửi ldaps.domain.comthông tin chứng chỉ của. Nhưng máy chủ mới đang gửi internalDC.domain.comgiấy chứng nhận của.

Cả hai máy chủ Haproxy đều cho phép TCP/636 từ DMZ sang LAN, cả hai đều đang sử dụng cùng một máy chủ Phụ trợ nên tôi hoàn toàn bối rối.

Bất kỳ lời khuyên sẽ được siêu đánh giá cao!

Cuối cùng, cách khắc phục vấn đề này thực sự là sử dụng công tắc '-servername' trong s_client. Tôi không biết rằng nó không xử lý SNI theo mặc định. @Ginnungagap chắc chắn đã hướng tôi theo hướng đó.

Nó cũng khiến tôi phát hiện ra rằng cấu hình SNI của tôi trong haproxy.cfg không hoàn toàn đúng. Ban đầu tôi có một dòng như:

use_backend nếu { ssl_fc_sni_reg domain.com }

Và tôi là thằng ngốc đã không nhận ra 'reg' là viết tắt của regex. Sau khi tôi đổi thành 'kết thúc' vì tôi đang cố khớp với chính tên domina.. mọi việc đã ổn thỏa.