Apache2 SSL VirtualHosts IE7 Cert Error

[Verwijderd]

Goedenmorgen,

Graag wil ik jullie aandacht vragen voor een probleem waar ik maar niet uitkom. Ik heb verscheidene opties geprobeerd voor mijn Apache2 configuratie (op Ubuntu 10.04).

Doel: Meerdere websites hosten middels VirtualHosts en 1 IP gebruik makende van SSL certificaten.

Wat gaat er fout?
Het lijkt alleen fout te gaan bij gebruikers die Internet Explorer 7 gebruiken om de sites te openen. De eerste site (in het voorbeeld "domein1.nl") in de configuratie van Apache2 opent prima in de browser. Echter sites die later in de config file (in het voorbeeld "domein2.nl") staan niet correct in de browser. Wanneer we dezelfde sites openen met IE8/Chrome/enz. zijn er geen problemen! De gebruikers van IE7 krijgen een "Certificate Error" bij het openen vanen als we doorgaan en controleren welk certificaat wordt gebuikt, is dit van het eerste domein!

Wat heb ik geprobeerd?
Apache2 SSL configuraties van verschillende pagina's gebruikt, gek genoeg lijker er meerdere oplossingen voor het probleem. Gezocht op Google naar combinaties van "Apache2 SSL VirtualHost", "IE7 Certificate Error Apache2 SSL", "PositiveSSL Apache2 IE7".

Hierbij een deel van mijn huidige "default-ssl" configuratie.

code:

<IfModule mod_ssl.c>

    NameVirtualHost *:443

    <VirtualHost *:443>
        SSLEngine on
        SSLCertificateFile /etc/ssl/certs/www_domein1_nl.crt
        SSLCertificateKeyFile /etc/ssl/private/www_domein1_nl.key
        SSLCertificateChainFile /etc/ssl/certs/AddTrustExternalCARoot.crt
        SSLCertificateChainFile /etc/ssl/certs/UTNAddTrustServerCA.crt
        SSLCertificateChainFile /etc/ssl/certs/PositiveSSLCA.crt

        ServerName www.domein1.nl
        ServerAlias www.domein1.nl
        ServerAlias domein1.nl
        SSLOptions StrictRequire
        SSLProtocol all -SSLv2
        
        DocumentRoot /home/u05/https
        <Directory /home/u05/https/>
        SSLRequireSSL
        Order Deny,Allow
        Allow from All
        </Directory>

        LogLevel warn
        ErrorLog /home/u05/log/error.log
        CustomLog /home/u05/log/access.log combined

        BrowserMatch "MSIE [2-6]" nokeepalive ssl-unclean-shutdown downgrade-1.0 force-response-1.0
        BrowserMatch "MSIE [17-9]" ssl-unclean-shutdown
    </VirtualHost>

    <VirtualHost *:443>
        SSLEngine on
        SSLCertificateFile /etc/ssl/certs/www_domein2_nl.crt
        SSLCertificateKeyFile /etc/ssl/private/www_domein2_nl.key
        SSLCertificateChainFile /etc/ssl/certs/AddTrustExternalCARoot.crt
        SSLCertificateChainFile /etc/ssl/certs/UTNAddTrustServerCA.crt
        SSLCertificateChainFile /etc/ssl/certs/PositiveSSLCA.crt

        ServerName www.domein2.nl
        ServerAlias www.domein2.nl
        ServerAlias domein2.nl
        SSLOptions StrictRequire
        SSLProtocol all -SSLv2
        
        DocumentRoot /home/u07/https
        <Directory /home/u07/https/>
        SSLRequireSSL
        Order Deny,Allow
        Allow from All
        </Directory>

        LogLevel warn
        ErrorLog /home/u07/log/error.log
        CustomLog /home/u07/log/access.log combined

        BrowserMatch "MSIE [2-6]" nokeepalive ssl-unclean-shutdown downgrade-1.0 force-response-1.0
        BrowserMatch "MSIE [17-9]" ssl-unclean-shutdown
    </VirtualHost>

</IfModule>

Zoals in de config te zien is, gebruik ik twee verschillende certificaten van dezelfde CA Root.
Dit zijn geen self-signed certificates, het zijn certificaten van Comodo.

Ik hoop dat jullie mij in de goede richting kunnen sturen!
Alvast enorm bedankt!

Mvg,

Jeroen

[Verwijderd]

Windows XP ondersteunt geen SNI (Server Name Indication). Op Windows XP machines gaat het dus nooit werken zoals je wilt.

Nog altijd geldt: als je SSL certificaten wilt gebruiken voor meerdere websites, gebruik dan meerdere IP adressen. De komende x aantal jaren kun je nog niet op SNI vertrouwen.

[Verwijderd]

Bedankt Cheatah voor je snelle reactie.

Dus zodra ik een 2e IP aan mijn webserver knoop kan ik aan de hand van IP:443 virtual hosing het probleem "omzeilen".

Thanks

[serkoon]

Ik draai meerdere SSL-sites op hetzelfde IP-adres en kan vanuit Windows XP prima naar beide sites met correcte certificaten met zowel Firefox als IE8.

Ik kan dan niet anders concluderen dat Windows XP ook prima te gebruiken is, al kan het zijn dat je wel minstens IE8 nodig hebt.

[Freeaqingme]

Ander nadeel van SNI is afaik dat je maar 1 organization op kan geven. Volgens mij is het onmogelijk om voor iedere site een andere organization te gebruiken?

[Verwijderd]

serkoon schreef op woensdag 24 november 2010 @ 17:03:
Ik draai meerdere SSL-sites op hetzelfde IP-adres en kan vanuit Windows XP prima naar beide sites met correcte certificaten met zowel Firefox als IE8.

Ik kan dan niet anders concluderen dat Windows XP ook prima te gebruiken is, al kan het zijn dat je wel minstens IE8 nodig hebt.

De exacte versies weet ik zo niet, maar ga er maar vanuit dat het voorlopig ongelofelijk dom is om SNI te gebruiken als je meerdere IP adressen tot je beschikking hebt.