رفع مشکلات مربوط به SSL

تعاریف

• SSL (Secure Sockets Layer) → پروتکل رمزنگاری قدیمی برای برقراری ارتباط امن بین مرورگر و سرور (اکنون جایگزین TLS شده).
• TLS (Transport Layer Security) → نسخه بهبود یافته و جدیدتر SSL. نسخه‌های پشتیبانی‌شده در cPanel: TLSv1.2 و TLSv1.3.
• OpenSSL → کتابخانه نرم‌افزاری متن‌باز برای اجرای پروتکل‌های SSL و TLS.
• Apache → وب‌سرور رایج برای میزبانی وب‌سایت‌ها.
• Certificate (گواهی SSL) → فایل دیجیتال که هویت یک وب‌سایت رو تأیید و ارتباط رو رمزنگاری می‌کنه.
• Private Key (کلید خصوصی) → فایل محرمانه‌ای که همراه با گواهی SSL استفاده می‌شه و باید با گواهی جفت باشه.
• SNI (Server Name Indication) → قابلیتی در TLS که اجازه می‌ده چند گواهی SSL روی یک IP نصب بشن.
• Dedicated IP (آی‌پی اختصاصی) → یک آدرس IP که فقط به یک وب‌سایت یا یک سرویس تعلق داره.
• Self-Signed Certificate (گواهی خودامضا) → گواهی‌ای که توسط خود سرور صادر شده و توسط مرجع معتبر (CA) تأیید نشده.
• Certificate Mismatch (عدم تطابق گواهی) → خطایی که زمانی رخ می‌ده که نام دامنه با نام گواهی SSL هم‌خوانی نداشته باشه.
• Domain Mismatch (عدم تطابق دامنه) → هشدار مرورگر مبنی بر اینکه دامنه واردشده با دامنه تعریف‌شده در گواهی مطابقت نداره.
• Shared Certificate (گواهی مشترک) → یک گواهی SSL که برای چند سایت روی یک IP استفاده می‌شه.
• VirtualHost → یک بلاک تنظیمات در Apache که مشخص می‌کنه یک دامنه یا IP چطور سرو شود.
• Drive Failure (خرابی دیسک) → از دست دادن اطلاعات SSL به دلیل آسیب فیزیکی یا نرم‌افزاری به دیسک.

نمای کلی

این مقاله برخی مشکلات رایج مربوط به SSL و روش‌های رفع اون‌ها رو توضیح می‌دهد.

⚠️ مهم:

• cPanel & WHM از پروتکل TLS نسخه ۱.۲ و ۱.۳ پشتیبانی می‌کنه.
• از نسخه ۸۶ به بعد، فقط TLSv1.2 یا جدیدتر پشتیبانی می‌شه و TLSv1.2 به‌طور پیش‌فرض فعاله.
• در نسخه‌های ۸۴ یا پایین‌تر، توصیه می‌شه TLSv1.2 رو فعال کنید.
• همه مرورگرها یا کلاینت‌ها از TLSv1.3 پشتیبانی نمی‌کنن، چون به OpenSSL 1.1.1 یا بالاتر نیاز داره.

مشکلات نصب (Installation Issues)

۱. عدم تطابق گواهی و کلید (Certificate and key mismatch)

• اگر گواهی SSL و کلید خصوصی به‌درستی جفت نشده باشن، Apache با SSL فعال نمی‌شه.
• برای بررسی تطابق، دستورات زیر رو اجرا کنید (filename رو با نام فایل جایگزین کنید):

openssl x509 -noout -in filename.crt openssl rsa -noout -text -in filename.key

• اگر modulus number و exponent خروجی هر دو فایل یکی بود → کلید و گواهی درست جفت شدن.

• اگر پیغام modulus mismatch یا key file does not match the certificate گرفتید → کلید خصوصی مربوط به گواهی انتخابی نیست.

📌 در WHM موقع نصب گواهی، ممکنه بخش Private Key به‌طور خودکار پر بشه. بهتره کلید خصوصی درست رو به‌صورت دستی در بخش Install an SSL Certificate on a Domain وارد کنید.

۲. آدرس IP اختصاصی (Dedicated IP addresses)

• بدون SNI، هر IP فقط می‌تونه یک گواهی SSL داشته باشه.
• چون هر اکانت cPanel فقط یک IP داره، فقط یک گواهی برای کل حساب نصب می‌شه.
• اگر روی ساب‌دامین مشکل داشتید → یا برای اون یک IP اختصاصی تنظیم کنید یا SNI رو فعال کنید.

هشدارها (Warnings)

۱. هشدار عدم تطابق گواهی (Certificate mismatch warnings)

• این خطا نشون می‌ده گواهی با دامنه واردشده هماهنگ نیست.
• دلیل رایج: استفاده از گواهی خودامضا یا گواهی برای دامنه‌ای دیگه.
• راهکار: مطمئن بشید گواهی SSL برای همون دامنه صادر شده باشه.

۲. هشدار عدم تطابق دامنه (Domain mismatch warnings)

• مرورگرها هشدار می‌دن اگر دامنه واردشده با نام موجود در گواهی یکی نباشه.
• برای ورود به cPanel معمولا مشکل امنیتی جدی نیست، اما برای سایت بازدیدکننده مهمه.
• در صورت نیاز، با هاستینگ تماس بگیرید.

۳. گواهی خودامضا (Self-signed certificates)

• بیشتر مرورگرها به این گواهی اعتماد نمی‌کنن و هشدار نشون می‌دن.
• چون فقط داده‌ها رو رمز می‌کنه ولی هویت رو تأیید نمی‌کنه.
• برای رفع هشدار، باید از یک مرجع معتبر (CA) گواهی بخرید.
• ⚠️ توجه: گواهی خودامضا رو حذف نکنید، فقط گواهی معتبر جدید رو نصب کنید.

مشکلات دیگر (Other issues)

۱. دسترسی به سایت‌های دیگر روی یک گواهی مشترک

• اگر چند سایت روی یک IP باشن اما فقط یکی SSL داشته باشه:
  • اون دامنه درست سرو می‌شه.
  • بقیه دامنه‌ها ممکنه خطا بدن یا به دامنه SSL دار هدایت شن.

📌 مثال:

• رفتار Apache:
  • https://1.2.3.4 → domain.com
  • http://1.2.3.4 → example.com یا صفحه پیش‌فرض
  • https://9.8.7.6 → خطا
  • https://example.com → domain.com

راه‌حل:

کاربران عادی (Basic users)

• در WHM → Install an SSL Certificate on a Domain برید.
• گواهی هاست‌نیم (Hostname) سرور رو انتخاب و روی IP اشتراکی نصب کنید.
• در Manage SSL Hosts روی Make Primary کلیک کنید.

کاربران حرفه‌ای (Advanced users)

• در WHM → Apache Configuration » Include Editor برید.
• گزینه Pre Virtual Host Include رو انتخاب کنید.
• متن زیر رو وارد کنید و مقادیر رو جایگزین کنید:

<VirtualHost IPADDRESS:443>
  ServerName HOSTNAME
  DocumentRoot /usr/local/apache/htdocs
  ServerAdmin EMAIL
  <IfModule mod_suphp.c>
    suPHP_UserGroup nobody nobody
  </IfModule>
  SSLEngine on
  SSLCertificateFile SSLCERTIFICATEFILE
  SSLCertificateKeyFile SSLCERTIFICATEKEYFILE
</VirtualHost>

خرابی‌های سیستمی (System failures)

• اگر دیسک سرور دچار خرابی بشه و از Trustwave authentication استفاده نکنید → ممکنه داده‌های SSL رو از دست بدید.
• اگر هنوز به دیسک قدیمی دسترسی دارید → داده‌های احراز هویت در فایل زیر ذخیره می‌شه:

/root/.trustwavereqs

کیان پور