☰

Certwatch 错误地报告证书已过期

tag-icon • tag-icon ssl-certificate centos7 cron.daily
Certwatch 错误地报告证书已过期

这有点奇怪。

每天早上我都会收到一封电子邮件，告诉我我的一个证书已过期。

################# SSL Certificate Warning ################

  Certificate for hostname '*.floodtrack.com', in file (or by nickname):
     /etc/pki/tls/certs/wildcard.floodtrack.com.crt

  The certificate needs to be renewed; this can be done
  using the 'genkey' program.

  Browsers will not be able to correctly connect to this
  web site using SSL until the certificate is renewed.

##########################################################
                                  Generated by certwatch(1)

这究竟从何而来，是一个令人沮丧的谜。

从命令行运行 certwatch 不会生成任何输出，并且会产生一个状态代码，指示证书良好或无法解析（状态代码 1）。

sudo /usr/bin/certwatch /etc/pki/tls/certs/wildcard.floodtrack.com.crt;echo $?
1

手动运行 /etc/cron.daily/certwatch 上的包装器脚本不会生成电子邮件，并且 openssl 会报告证书已不是已到期

openssl x509 -noout -text -startdate -enddate -in /etc/pki/tls/certs/wildcard.floodtrack.com.crt

notBefore=Sep 20 00:00:00 2020 GMT
notAfter=Oct 21 23:59:59 2021 GMT

Apache 正在选择并使用正确的证书。

电子邮件的一切看起来都是合法的，但显然是错误的。有什么想法可以解释为什么会发生这种情况以及如何解决它吗？

答案1

可能您调查的文件与生成邮件的实用程序不是同一个。

这一个已过期， 这尚未过期openssl x509- 尽管文件路径精确匹配，但一个很好的解释是：您在与生成邮件的实用程序不同的机器或容器上（或在时间/日期设置不同的机器上）运行了您的邮件。

你很可能能弄清楚到底是谁通过查看电子邮件的原始来源向您发送邮件，标题中可能存在更具描述性的主机名。然后，找到该机器并找出它为何安装了较旧的证书。

答案2

结果是这两台机器和至少一台其他机器在 VMWare 中复活了。我不知道是怎么回事，但就是那些机器发送了异常消息。我关闭了它们，这应该可以阻止错误警报——除非有笨蛋再次将它们打开……

相关内容