LINUX.ORG.RU

Не работают некоторые https-сайты на debian

 ,


1

2

Давно заметил, что на Debian не открываются некоторые https-сайты

К примеру https://www.online.net/

iceweasel выдает:

Соединение было прервано
          Во время загрузки страницы соединение с www.online.net было прервано.

опера:

Не удаётся завершить защищённую транзакцию
Показывать подробности 

Проверьте, верно ли написан адрес, или попробуйте найти сайт.

chromium:

SSL connection error.

Unable to make a secure connection to the server. This may be a problem with the server, or it may be requiring a client authentication certificate that you don't have.

epiphany:

Unable to load page

Problem occurred while loading the URL https://www.online.net/

SSL handshake failed: A TLS packet with unexpected length was received.

Естественно куки, кеш и т.д. чистить бессмысленно, четко видно, что проблема системная и не зависит от браузера. Более того, такая же бяка на других машинах с debian (версии разные: 6, 7, 8)

Очевидно, что проблема в протоколе, но почему только с некоторыми сайтам и как это решается? И главное ничего не нагугливается, может кто в курсе в чем проблемы? На том же компе на virtualbox на винде эти же сайты благополучно открываются (то есть проблема точно не у интернет-провайдера)...



Последнее исправление: valet (всего исправлений: 2)

Может в Firefox есть какая-нибудь отладочная консоль или плагин, которые покажут причину? Еще можно посниффать, вдруг чего интересного в трафике

Deleted
()
Ответ на: комментарий от Deleted

так не открывается ни в одном из браузеров, уже выяснили выше, что от openssl системного зависит...

valet
() автор топика
Ответ на: комментарий от valet

то есть поставить пакет из джесси на сквиз - че то такой вариант мне кажется совсем корявым...

а какая разница? он no-arch, из зависимостей только openssl > 1.0 и debconf > 0.5 - такое вообще проблем создавать не будет

и, это, на wheezy - насчёт squeeze я не уверен, что там хоть одна зависимость совпадёт :)

в принципе, можно, наверное, вообще просто распаковать deb и кинуть все файлы в etc (я вот не помню, есть там post-install - если есть, то выполнить то, что там написано) - всё равно ты обновлять этот пакет больше не будешь

buratino ★★★★★
()
Ответ на: комментарий от buratino

про squeeze или хорошо, или ничего - он уже не поддерживается
я исключительно про wheezy говорю

Но у меня то именно squeeze

valet
() автор топика
Ответ на: комментарий от valet

Но у меня то именно squeeze

тогда никак. она не поддерживает то, что поддерживают современные системы шифрования на сервере

buratino ★★★★★
()
ploskov@dell3552:~$ uname -a
Linux dell3552 4.9.0-1-amd64 #1 SMP Debian 4.9.2-2 (2017-01-12) x86_64 GNU/Linux
ploskov@dell3552:~$ google-chrome --version
Google Chrome 56.0.2924.87

УМВР

Deleted
()
Ответ на: комментарий от valet

Для отладки HTTPS можно использовать s_client https://wiki.openssl.org/index.php/Manual:S_client(1)

Ну а если проблема в устаревших корневых сертифитах, так их нужно просто заменить в системе, и всё. Может и сам опенссл не придется обновлять. Вот, в winxp перестали сайты открываться года два назад по аналогичной причине

Deleted
()
Ответ на: комментарий от buratino

почему LTS-team не обновляет сертификаты - спроси у них

Всё они обновляют! Это ТС не обновляет систему от слова вообще. Ты чем тему читал? Я продемонстрировал полную работоспособность штатными средствами.

mandala ★★★★★
()
Ответ на: комментарий от Deleted

Ха, еще один тему не читал. ТС боится накатить обновления безопасности, у него там софт 10-го года — вот и не работает.

mandala ★★★★★
()
Ответ на: комментарий от valet

то есть поставить пакет из джесси на сквиз - че то такой вариант мне кажется совсем корявым...

Я дал нормальный вариант: с сайта лисы «портабле-версию» или накатить все доступные обновления безопасности. Первое проще — там нужно просто распаковать архив и пользоваться.

mandala ★★★★★
()
Ответ на: комментарий от mandala

Что ты ему дичь советуешь? У него зависимости тут же сломаются, а мы окажемся виноваты.

с чего бы зависимости сломались?

там две зависимости, обе зажаты снизу - debconf и openssl. сверху не зажаты. пакет noarch. там проблем не может возникнуть даже теоретически.

buratino ★★★★★
()
Ответ на: комментарий от buratino

откуда у него тогда 45-й файрфокс?

Это у него в виртуалке с ХР 46-я лиса и там всё работает — он так и ходит, через виртуалку. Естественно та лиса все библиотеки с собой носит, как и лиса для линукса на которую я линки дал.

mandala ★★★★★
()
Ответ на: комментарий от buratino

не взлетит. тяги не хватит

6-й после обновления до последних ЛТС версий скорее всего взлетит (это всего год назад примерно прекратили поддержку). 7-ка 146% взлетит — доказательство в треде я предоставил.

mandala ★★★★★
()
Ответ на: комментарий от mandala

он вообще смешал всё сразу, и wheezy, и squeeze, и винду. поэтому он может говорить подряд, а подразумевать здесь одно, там другое, а тут третье.

но я так понял, что у него в wheezy 45-й firefox - потому что там именно он

buratino ★★★★★
()
Ответ на: комментарий от mandala

6-й после обновления до последних ЛТС версий скорее всего взлетит

когда там последний раз openssl обновляли? я ченчлогов не вижу, из packages.debian.org он исчез, с зеркал - тоже

buratino ★★★★★
()
Ответ на: комментарий от mandala

на не обновленном визи скорее всего сломает, а на сквизи тем более.

что сломает? libssl придётся обновить, или к чему это? в любом случае, там весь вопрос - набрать aptitude, нажать e, принять второй вариант из предложенных, и два раза нажать g - тоже мне, проблема

на сквизи он не станет ни тушкой, ни чучелом

buratino ★★★★★
()
Ответ на: комментарий от buratino

Нет, у него не обновляемый основной сквизи — в нем виртуалка с ХР. Еще есть визи — тоже не обновляется. Есть восьмёрка — на ноутбуке при обновлении с 6-ки до 8-ки что-то сломалось, он просто накатил 8-ку. Вот на 8-ке всё работает как раз.

у него в wheezy 45-й firefox - потому что там именно он

Это надо подключить wheezy-proposed-updates и сделать dist-upgrade — а этого он делать не хочет, ведь всё может сломаться.

mandala ★★★★★
()
Ответ на: комментарий от buratino

В архиве надо смотреть, но мне лениво, правда. Я доказывать ни кому ни чего не хочу — сидеть без обновлений безопасности и грызть кактус — это выбор ТС-а, а не мой. У меня всё работает.

mandala ★★★★★
()
Последнее исправление: mandala (всего исправлений: 1)
Ответ на: комментарий от mandala

Это надо подключить wheezy-proposed-updates и сделать dist-upgrade — а этого он делать не хочет, ведь всё может сломаться.

ну, в security оно тоже есть

а зачем dist-upgrade? в интерфейсе aptitude обновить только firefox (и то, что ему потребуется).

а вообще, dist-upgrade на том же релизе делать не надо, у него полномочий больше :)

buratino ★★★★★
()
Ответ на: комментарий от mandala

у меня на этом ноубтуке ядра 4.x не работают (точнее, работают только если звук заблеклистить). так что мне, видимо, тоже придётся сидеть на 8.x до первых правнуков... а ведь этот ноутбук ещё Ленина (lenny) видел!

buratino ★★★★★
()
Ответ на: комментарий от buratino

dist-upgrade на том же релизе делать не надо,

На ЛТС надо, для замены 6-й жабы на 7-ю, например.

ну, в security оно тоже есть

Он заменит старого песца на новую лису? Вообще просто анонсировали что такие «не характерные» для стейбла обновления попадать в обычный репозиторий не будут.

mandala ★★★★★
()
Ответ на: комментарий от mandala

На ЛТС надо, для замены 6-й жабы на 7-ю, например.

во-во, нафиг такие жертвы

Он заменит старого песца на новую лису? Вообще просто анонсировали что такие «не характерные» для стейбла обновления попадать в обычный репозиторий не будут.

в wheezy - оно в security. в stable - оно попадает в обычный репозиторий. у меня вообще всё, кроме jessie и jessie-backports отключено (лень зеркалить updates и proposed-updates, места уже нет) - у меня уже 45-й firefox, который заменил 38-й iceweasel

buratino ★★★★★
()
Ответ на: комментарий от buratino

в wheezy - оно в security. в stable - оно попадает в обычный репозиторий. у меня вообще всё, кроме jessie и jessie-backports отключено (лень зеркалить updates и proposed-updates, места уже нет) - у меня уже 45-й firefox, который заменил 38-й iceweasel

А, ну значит переиграли при замене, когда я перебирался с 7-ки там её еще не было.

mandala ★★★★★
()
Ответ на: комментарий от Deleted

сли проблема в устаревших корневых сертифитах, так их нужно просто заменить в системе, и всё

Не поможет, там сервер дропает соединение.

mandala ★★★★★
()
Ответ на: комментарий от mandala

да, такое поведение недавно. но в wheezy уже точно было, обновляя iceweasel 10->17->24

причём это было сделано довольно криво, и iceweasel-i18n-* оставались от всех версий - в результате из валидного репозитория нельзя было собрать jigdo для update-дисков - требовалось их с машины времени выкачивать.

buratino ★★★★★
()
Ответ на: комментарий от anonymous

Вот видишь, даже Firefox говорит что не стоит заходить на это г*вно.

Stormy
()
Ответ на: комментарий от mandala

Нет, у него не обновляемый основной сквизи — в нем виртуалка с ХР. Еще есть визи — тоже не обновляется. Есть восьмёрка — на ноутбуке при обновлении с 6-ки до 8-ки что-то сломалось, он просто накатил 8-ку. Вот на 8-ке всё работает как раз.

Примерно так и есть, правда есть еще и 8ка на компе - там тоже не работает.

valet
() автор топика

debian 8 luakit открывает, сайт действительно тяжелый - видос какой то крутится...

amd_amd ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.