Stunnel не будет работать с SSLv3 от некоторых хостов

Получение копии существующего DNS может включить "очистку" его из веб-интерфейса управления. Можно попытаться выполнить зональную передачу зонального использования dig, nslookup, или сервер DNS, но любой правильно настроенный сервер DNS не собирается подавать зональные передачи в Joe AnybodyTM.

Вы найдете несколько вопросов на ре Отказа сервера: организованный cutover записей DNS между "старым значением" и "новым значением" (Вот тот: Как я гладко перемещаю DNS веб-сервера от одного IP-адреса до другого?).

Традиционный метод для выполнения такого cutover состоит в том, чтобы поместить "старое значение" в сервер DNS (например, IP-адрес перед сокращением, присвоенный "www" запись) и выключить TTL до сокращения (некоторые люди предпочитают отступать - от этого значения наполовину, пока сокращение не происходит - 24 часа, 12 часов, 6 часов, и т.д., вплоть до сокращения). После того как Вы поражаете cutover время, Вы помещаете новую запись на месте и безотносительно TTL, который Вы хотели бы. Идеально запись перед сокращением имела такой короткий TTL, что это быстро стареет из кэша на всех рекурсивных сопоставителях вокруг 'сети, которая, возможно, кэшировала его (предположение, что все манипулируют и не делают немых вещей как переопределение Вашего TTLs).

Можно увеличить это при помощи перезаписи URL или обратного прокси на старом веб-хосте прямых клиентов к новому хосту, если Вы действительно параноики (или кто-то не играет по правилам и игнорирует Ваш TTL). Должны ли Вы перейти к этому уровню паранойи или не будете зависеть от своего определенного обстоятельства. Если бы сайт статичен по своей природе, я поддерживал бы веб-сайт в рабочем состоянии по старому серверу, пока Вы больше не видите, что доступы поражают журналы там.

Я думал бы, что важные записи являются, вероятно, записью MX для домена, и записи для домена, "www", и независимо от того, что запись MX указывает на. Я избежал бы рискованных действий и копировал бы все содержание зоны, таким образом, что Вы можете, позже, исследуйте каждую запись и фигуру, если они используются и для чего они используются. (Я знаю, что у моих Клиентов обычно есть запись для их шлюза VPN пользователя на сайт в общедоступном DNS, например.)

9
задан 13 April 2017 в 15:14
3 ответа

Ok, problem was solved... I added this to configuration:

sslVersion = all
options = NO_SSLv2

As far as I understand, error was related to SSLv23. Now all works as expected.

10
ответ дан 2 December 2019 в 22:26

SSL3_GET_RECORD: неверный номер версии является ключом. Кажется, что lynx в ваших системах CentOS не использует SSLv3.

Будет проще проверить точное поведение с помощью openssl s_client :

Проверить, что происходит только с SSLv3:

openssl s_client -connect server:443 -ssl3

И только с помощью TLS:

openssl s_client -connect server:443 -tls1
6
ответ дан 2 December 2019 в 22:26

Мне пришлось установить

options = -NO_SSLv3

, чтобы деактивировать параметр сейчас по умолчанию для NO_SSLv3. (Сервер, к которому подключается, не выполняет TLS)

0
ответ дан 2 December 2019 в 22:26

Теги

Похожие вопросы