Falsche Weiterleitung bei Domain mit GnuTLS

[Hammy]

Hallo zusammen,

ich habe auf unserem server gnutls nach eurem howto eingerichtet und das hat auch super funktioniert. haben jetzt für einen kunden (https://www.kunde1.de) eine https seite am laufen, allerdings gibt's jetzt das problem, dass wenn ein anderer kunde (https://www.kunde2.de) auf seine webseite via https zugreifen will, firefox das zertifikat von kunde1 angibt und meint, dass es quasi ein identitätsdiebstahl vorliegt. d.h. also sobald https eingegeben wird mit ner domain, die auf unserem server liegt IMMER das cert von diesem einen kunden kommt und der browser dann auch entsprechend auf kunde1 umleitet (wenn man das sicherheitsrisiko im browser bestätigt) was natürlich nicht sein darf.

wie kann ich denn gnutls(?) dazu bewegen, dass wenn es keinen eingetragenen 443 virtualhost für einen kunden gibt, er nix anzeigt oder im idealfall auf http des kunden umleitet anstatt auf die seite eines komplett anderen kunden (den einzigen mit https) umleitet?

verzweifelte grüße,
chris


edit:

vlt nochmal genauer erklärt:
alle meine vhosts sind jetzt via 443 erreichbar, liefern mir aber den inhalt von kunde1.

kann es sein, dass gnutls über 443 immer den ersten vhost nimmt, den er findet? wäre es sinnvoll da vielleicht einen leeren vhost einzutragen, der dann einfach nichts anzeigt?

[Hammy]

habe jetzt versucht einen dummy vhost anzulegen, der in meiner vhost liste ganz oben steht:

Code:

<VirtualHost 1.2.3.4:443>
ServerName server.de
RewriteEngine On
RewriteRule (.*) http://%{HTTP_HOST}
</VirtualHost>

aber jetzt bekomme ich einen Fehlercode: ssl_error_rx_record_too_long

[ephigenie]

Da alle deine Domains auf eine IP zeigen, ist es ja auch völlig klar,
dass es bei https / SSL nicht anders ist.
Du kannst leider nicht VOR dem ssl Handshake umleiten. Daher werden User immer ein Zertifikat sehen - da der Server eine SSL Negotiation erzwingt.

Lösung : hole dir für jeden Kunden ein Zertifikat - oder lege eine extra IP an und auf diese IP legst du NUR die Kundendomains, die auch tatsächlich SSL geschützt werden sollen.
Dann kannst du allerdings auch wieder mehrere über eine IP (Dank GnuTLS) bedienen.

Aber im Missmatsch wird das nicht klappen.

[Hammy]

danke ephigenie,

ich werds mal mit ner eigenen ip für ssl versuchen!