SSL foutmeldingen

[twakkers]

Op onze website https://www.m2msolutions.nl/ is er een gebruiker die SSL foutmeldingen krijgt.
Maar wij zelf niet.

Ondanks dat de gebruiker de nieuwste Google Chrome en Edge gebruikt.
Zijn provider is Ziggo.

Foutmelding Chrome: err_ssl_unrecognized_name_alert
Foutmelding Edge: Verouderde of onveilige TLS-beveilingsinstellingen

Krijgen jullie een foutmelding? en is dit toevallig ook met Ziggo?

[Snake]

Het enige wat ik kan zien is dat de www in de SAN zit, en niet in de CN. Maar aangezien jouw gebruiker Edge gebruikt heeft hij/zij Windows 10, en die heeft daar geen problemen mee.

Kan de gebruiker eens een screenshot maken van de certification chain in Chrome?

[Wiebeltje]

Er zijn een hoop online tools om je SSL certificaat te controleren. Ik gebruik altijd SSLlabs. Daar komt je website niet heel erg best uit: https://www.ssllabs.com/s...utions.nl&s=37.97.192.139 .

Je zal sowieso wat oude cipher suites moeten gaan uitschakelen. Dat is ook in lijn met de foutmelding die de gebruiker krijgt.

[HKLM_]

SSL3 en RC4 zijn dingen die zo snel mogelijk zou fixen ook de rest natuurlijk tot je een A hebt of een A+

[Vorkie]

En haal je AAAA-record (IPv6) weg als je webserver er niet op luistert.... of laat de webserver er naar luisteren.

Zorg eerst dat de link van @Wiebeltje en zoals @HKLM_ zegt op >A staat.

[Thralas]

Vorkie schreef op donderdag 4 oktober 2018 @ 21:52:
Zorg eerst dat de link van @Wiebeltje en zoals @HKLM_ zegt op >A staat.

Interessant genoeg kun je in dit geval de oorzaak niet zomaar afleiden uit het SSLLabs-rapport.

En haal je AAAA-record (IPv6) weg als je webserver er niet op luistert.... of laat de webserver er naar luisteren.

Want dit is het probleem. Zie RFC6066 over SNI:

quote: https://tools.ietf.org/rfc/rfc6066.txt

If the server understood the ClientHello extension but
does not recognize the server name, the server SHOULD take one of two
actions: either abort the handshake by sending a fatal-level
unrecognized_name(112) alert or continue the handshake.

De gebruiker waarvoor het niet werkt heeft IPv6, en kom dus uit op een server die het hele domein niet kent en zodoende de connectie direct afbreekt met een err_ssl_unrecognized_name_alert.

[Vorkie]

@Thralas verklaard een hoop, kreeg de melding zelf ook... Had even geen link gelegd hiermee.. 👍🏻

[Wiebeltje]

Thralas schreef op donderdag 4 oktober 2018 @ 22:53:
[...]
Interessant genoeg kun je in dit geval de oorzaak niet zomaar afleiden uit het SSLLabs-rapport.
[...]

Feitelijk dus wel: https://www.ssllabs.com/s...tml?d=www.m2msolutions.nl maar ik zal eerlijk bekennen dat ik die ipv6 wel gezien had maar ik snapte het niet helemaal. Omdat hij ook geen grade mee kreeg dacht ik dat die er niks mee te maken zou hebben.

[twakkers]

Bedankt voor alle reacties.
Zou het verwijderen van de AAAA records uit de DNS lijst helpen in dit geval?
Ik maak uiteraard een backup van de instellingen lijst.

[VHware]

twakkers schreef op vrijdag 5 oktober 2018 @ 08:34:
Bedankt voor alle reacties.
Zou het verwijderen van de AAAA records uit de DNS lijst helpen in dit geval?
Ik maak uiteraard een backup van de instellingen lijst.

Ja, dan maakt iedereen verbinding op het IPv4-adres gezien er dan geen record voor IPv6 meer is. Je kan het natuurlijk ook aan de serverkant fixen dat IPv6 wel werkt ?