আপনি কনফিগারেশন ফাইলের প্রথম ভার্চুয়ালহোস্টের জন্য এসএসএল প্রোটোকল সেট করতে পারেন। পরবর্তী সমস্ত ভার্চুয়ালহোস্ট এন্ট্রি প্রথম এন্ট্রি থেকে সেটিংটি উত্তরাধিকার সূত্রে গ্রহণ করবে এবং ওপেনএসএসএল বাগের কারণে নিঃশব্দে তাদের নিজস্ব সেটিং উপেক্ষা করবে ।
মোড_এসএসএল সম্পর্কিত একটি ত্রুটি প্রতিবেদন রয়েছে তবে বাগ রিপোর্টে বর্ণিত হিসাবে ওপেনএসএসএলে সমস্যাটি সমাধান করা দরকার (শংসাপত্রটি উত্তরাধিকার সূত্রে প্রাপ্ত তবে প্রোটোকল নয়)।
সাইফার স্যুটগুলি প্রতিটি ভার্চুয়ালহোস্টের জন্য স্বাধীনভাবে সেট করা উচিত, অন্যথায় আপনি প্রচুর পরিমাণে অনিরাপদ সাইফার সহ ডিফল্ট তালিকাটি শেষ করবেন। এছাড়াও, সচেতন থাকুন যে পুরানো ক্লায়েন্টরা সার্ভার নেম ইন্ডিকেশন (এসএনআই) সমর্থন করে না তারা সর্বদা ডিফল্ট হোস্ট ( ব্যবহার অবরুদ্ধ না করেSSLStrictSNIVHostCheck ) ব্যবহার করবে যা আপনার পরীক্ষাকে বিভ্রান্ত করতে পারে।
সংক্ষেপে, আপনার প্রতিটি ভার্চুয়াল হোস্টের জন্য কাস্টম সিফার স্যুট এবং শংসাপত্রগুলি নির্দিষ্ট করতে সক্ষম হওয়া উচিত, তবে বাগটি স্থির না হওয়া পর্যন্ত প্রতিটি ভার্চুয়াল হোস্টের জন্য কাস্টম প্রোটোকলের সাথে সঠিক আচরণের আশা করবেন না।
আমি অ্যাপাচি ২.৪ এবং ওপেনএসএসএল ১.০.১ কে মডেল নিয়ে এই সমস্যার মুখোমুখি হয়েছি এবং আমি আশা করি যে অ্যাপাচি ২.২ একই সমস্যাগুলির অধীন হতে পারে।
আপডেট (অক্টোবর 2016): ওপেনএসএসএল বাগটি 13 ই অক্টোবর, 2016 এ সমাধান হিসাবে চিহ্নিত করা হয়েছিল। তবে এটি উন্মুক্ত ইস্যুগুলির ব্যাপক বন্ধের অংশ ছিল এবং যদিও একটি 'আংশিক ফিক্স' সরবরাহ করা হয়েছিল, তবুও সমস্যাটি কখনই পুরোপুরি সমাধান করা হয়নি।
আপডেট (এপ্রিল 2018): পুনরায় জমা দেওয়া ওপেনএসএসএল বাগে এখন একটি প্যাচ উপলব্ধ রয়েছে (9 এপ্রিল, 2018 পর্যন্ত)। এই প্যাচটি একাধিক এসএনআই ভার্চুয়াল হোস্টগুলির সাথে কনফিগার করা অ্যাপাচি উদাহরণগুলির আচরণ পরিবর্তন করবে:
ভোস্ট এসএসএলপ্রোটোকল অনুসারে সংযোগগুলি প্রত্যাখ্যান করুন
এটি 2.4.27 দিয়ে এবং সেই সংস্করণটি সহ উত্পাদনে উন্নত ও পরীক্ষিত হয়েছিল। প্যাচটি 2.4.33 এর জন্য সংশোধন করা হয়েছিল এবং হালকাভাবে পরীক্ষা করা হয়েছিল।
এটি ভার্চুয়াল হোস্টের জন্য এসএনআই-এর ভিত্তিতে মিলে যাওয়া এসএসপিপ্রোটোকলের বিপরীতে সংযোগের সংস্করণটি পরীক্ষা করে। যেহেতু সংযোগটি প্রথমে বন্দরের জন্য ডিফল্ট হোস্টের জন্য কনফিগার করা এসএসএল প্রোটোকল দিয়ে তৈরি করা হয়েছিল, তাই ডিফল্ট হোস্টটিতে অবশ্যই সমস্ত প্রোটোকল অন্তর্ভুক্ত থাকতে হবে যা কোনও ভার্চুয়াল হোস্ট দ্বারা সমর্থিত হবে।
এই প্যাচটি init_vhost ফাংশনে APR_EMISMATCH এর অতিরিক্ত রিটার্নের স্থিতি যুক্ত করে যাতে ওপেনএসএসএল-এর সাথে নিবন্ধিত এসএসএল_ক্যালব্যাক_সভারননাম ইন্ডিকেশন কলব্যাক মারাত্মক সতর্কতা SSL_AD_PROTOCOL_VERSION ফিরে আসতে পারে। এটি ক্লায়েন্টহেলোতে কোনও এসএসএলপ্রোটোকল নির্দিষ্ট করা আছে যা প্রশ্নের সংস্করণটি অন্তর্ভুক্ত করে না এমন একই প্রতিক্রিয়া তৈরি করার উদ্দেশ্যে। কারণ ক্লায়েন্টহেলোর প্রক্রিয়াকরণের সময় এসএনআই কলব্যাক কল করা হয়েছিল এবং কোনও প্রতিক্রিয়া তৈরি হওয়ার আগে মনে হয় ঠিক এটি ঘটেছে।
আপনি যদি হঠাৎ করে নিম্নলিখিত ফর্ম্যাটটির বার্তা দেখতে পান:
Rejecting version [version] for servername [hostname]
তারপরে আপনার SSLProtocolনিজের ডিফল্ট হোস্টের জন্য আপনার ডাবল-চেক করা উচিত ।
SSLStrictSNIVHostCheckঅনেক প্রশংসিত। তবে উদ্ধৃত নথি থেকে এটিও লক্ষ করা উচিত যে যদি অন্য কোনও ভার্চুয়াল হোস্টে সেট করা থাকে , এসএনআই অজ্ঞাত ক্লায়েন্টদের এই নির্দিষ্ট ভার্চুয়াল হোস্টটিতে অ্যাক্সেসের অনুমতি নেই ।