LINUX.ORG.RU

Не работают некоторые https-сайты на debian

 ,


1

2

Давно заметил, что на Debian не открываются некоторые https-сайты

К примеру https://www.online.net/

iceweasel выдает:

Соединение было прервано
          Во время загрузки страницы соединение с www.online.net было прервано.

опера:

Не удаётся завершить защищённую транзакцию
Показывать подробности 

Проверьте, верно ли написан адрес, или попробуйте найти сайт.

chromium:

SSL connection error.

Unable to make a secure connection to the server. This may be a problem with the server, or it may be requiring a client authentication certificate that you don't have.

epiphany:

Unable to load page

Problem occurred while loading the URL https://www.online.net/

SSL handshake failed: A TLS packet with unexpected length was received.

Естественно куки, кеш и т.д. чистить бессмысленно, четко видно, что проблема системная и не зависит от браузера. Более того, такая же бяка на других машинах с debian (версии разные: 6, 7, 8)

Очевидно, что проблема в протоколе, но почему только с некоторыми сайтам и как это решается? И главное ничего не нагугливается, может кто в курсе в чем проблемы? На том же компе на virtualbox на винде эти же сайты благополучно открываются (то есть проблема точно не у интернет-провайдера)...



Последнее исправление: valet (всего исправлений: 2)

Ответ на: комментарий от anonymous

да нет, иначе почему на этом же железе на виртуальной машине на винде эти же сайты открываются - это раз, два - на других дебианах других железяк с этими же сайтами та же проблема...

valet
() автор топика
Ответ на: комментарий от valet

на сайтах ключи или протокол новый в дебьяне устаревшие(и каменного века) либы не поддерживают это

попробуй пользоваться нормальным дистрибутивом

vtq34957
()
Ответ на: комментарий от vtq34957

это 100%, единственное я не знаю почему это происходит и как решать? Вот к примеру у меня есть сервера от online.net, теперь чтобы зайти к ним в аккаунт приходится заходить с виртуальной машины с винды, что за фигня, раньше (где-то месяц назад) нормально ходил с дебиана, но были аналогичные проблемы с некоторыми другими сайтами на https. Проблема однозначно в ОС, но что именно и как решать хз...

valet
() автор топика
Ответ на: комментарий от vtq34957

ну нифига себе, оказывается чтобы зайти на такие сайты нужно сменить всего лишь... дистрибутив ) другие идеи будут?

valet
() автор топика
Ответ на: комментарий от valet

лечись от аутизма,он тут у подавляющего большинства лоровцев

ведро то у тебя поди 2.4 версии еще-все правильно делаешь,борись терпи экономь!

vtq34957
()
Ответ на: комментарий от vtq34957

Нет, ядра посвежее, например с компа с которого щас пишу:

valet@valet-comp:~$ uname -a Linux valet-comp 3.2.0-0.bpo.4-amd64 #1 SMP Debian 3.2.63-2+deb7u1~bpo60+1 x86_64 GNU/Linux

Но это debian 6 и с этого компа данный сайт не открывается (как и некоторые другие)

Также не открывается этот и некоторые другие сайты на https с ноута с debian 6 (но ядро не древнее как гавно мамонта), с ноута с debian 7 (там уже по умолчанию ядро не ниже чем 3.2 кажется) и с компа с debian 8. Но на одном ноуте с debian 8 он таки открывается (что кстати странно)! Ну и везде на виртуалке с любой винды он естественно открывается... Куда копать, пофик на дистр и ядро - ведь все равно же должны сайты открываться, что за жесть.

valet
() автор топика

не открываются некоторые https-сайты

Это обычное состояние современных HTTPS-сайтов, ничего удивительного. По-возможности, просто избегай их.

К примеру https://www.online.net/

А это нормально, что этот сайт грузит все восемь ядер CPU на 25%? Может и не велика потеря?

EXL ★★★★★
()
Последнее исправление: EXL (всего исправлений: 1)
Ответ на: комментарий от EXL

Это обычное состояние современных HTTPS-сайтов, ничего удивительного. По-возможности, просто избегай их.

С чего бы это избегать их?

А это нормально, что этот сайт грузит все восемь ядер CPU на 25%?

Никогда не замечал подобного, между прочим это сайт очень крупного ДЦ во Франции.

Может и не велика потеря?

Вообще-то у меня там аккаунт, заказанные сервера, я вынужден туда заходить, просто теперь приходится ходить туда через ж..пу ой винду на виртуальной машине, что за...

valet
() автор топика
Ответ на: комментарий от valet

Кстати я и избегал их (вынуждено, хотя понимал, что проблемы именно в дебиане), но когда дело коснулось в том числе сайта, куда я просто вынужден заходить так как у меня там аккаунт, я просто не выдержал и создал эту тему. Ведь наверняка есть какое-то решение данной проблемы, несколько лет этот сайт благополучно работал в дебиане (на некоторых других проблема уже была), то есть с таким успехом скоро и яндекс с гуглом перестанет работать, что тогда - тоже не избегать их...

valet
() автор топика

Сервер не найден

Firefox не может найти сервер http://www.kremlin.ru.

Проверьте, не допущена ли ошибка при наборе адреса, например, ww.example.com вместо http://www.example.com

Если ни одна страница не загружается – проверьте настройки соединения с Интернетом.

Если компьютер или сеть защищены межсетевым экраном или прокси-сервером – убедитесь, что Firefox разрешён выход в Интернет.

:-)

anonymous
()
Ответ на: комментарий от anonymous

у меня открывается, по http вроде бы все открываются, а вот по https не все, вот вопрос почему и как это решить?

valet
() автор топика
Ответ на: комментарий от valet

valet

А у меня работает, только что обновил 7.11 (давно не трогал) и установил firefox-esr

Информация о системе:

mandala@debian:~$ cat /etc/debian_version 
7.11

mandala@debian:~$ cat /etc/os-release 
PRETTY_NAME="Debian GNU/Linux 7 (wheezy)"
NAME="Debian GNU/Linux"
VERSION_ID="7"
VERSION="7 (wheezy)"
ID=debian
ANSI_COLOR="1;31"
HOME_URL="http://www.debian.org/"
SUPPORT_URL="http://www.debian.org/support/"
BUG_REPORT_URL="http://bugs.debian.org/"

mandala@debian:~$ uname -a
Linux debian 3.2.0-4-686-pae #1 SMP Debian 3.2.84-1 i686 GNU/Linux

Источники пакетов:

deb http://ftp.ru.debian.org/debian/ wheezy main non-free contrib
deb-src http://ftp.ru.debian.org/debian/ wheezy main non-free contrib

deb http://security.debian.org/ wheezy/updates main contrib non-free
deb-src http://security.debian.org/ wheezy/updates main contrib non-free

# wheezy-updates, previously known as 'volatile'
deb http://ftp.ru.debian.org/debian/ wheezy-updates main contrib non-free
deb-src http://ftp.ru.debian.org/debian/ wheezy-updates main contrib non-free

# backports
deb http://http.debian.net/debian wheezy-backports main contrib non-free
deb-src http://http.debian.net/debian wheezy-backports main contrib non-free

# Для установки из backports выполнить:
# apt-get -t wheezy-backports install "package"
# Инструкция по адресу http://backports.debian.org/Instructions/
# http://lists.debian.org/debian-backports-announce/ анонсы
# http://lists.debian.org/debian-backports/ сообщения об ошибках

# Информация https://www.debian.org/releases/proposed-updates.ru.html
deb http://ftp.ru.debian.org/debian/ wheezy-proposed-updates non-free contrib main
deb-src http://ftp.ru.debian.org/debian/ wheezy-proposed-updates non-free contrib main

Информация о браузере:

$ firefox --version
Mozilla Firefox 45.7.0

Устанавливал как обычно: apt-get install firefox-esr firefox-esr-l10n-ru.

Вот скриншотик http://i.imgur.com/uRvBYAL.png

mandala ★★★★★
()
Последнее исправление: mandala (всего исправлений: 2)
Ответ на: комментарий от EXL

А это нормально, что этот сайт грузит все восемь ядер CPU на 25%?

Ни чего у меня не грузит, одно ядро, два потока, открылся чуть похуже ЛОРа, свежая 45-я лиса.

mandala ★★★★★
()
Ответ на: комментарий от mandala

Тем не менее у меня на разных компах и разных дебианах не работает, работает только на одном ноуте, на котором debian 8/

valet
() автор топика
Ответ на: комментарий от valet

Посмотри на конфиг репозиториев, из бекпортов тут ни чего нет. Приведи в такой же вид, обнови через apt-get dist-upgrade. Установи чистую лису, она тоже идет прям из репозитория, без извращений. Проверь на чистом профиле.

Вот если тогда не заработает — будем думать чем твой дебиан отличает о того из которого я пишу тебе этот месседж.

mandala ★★★★★
()
Последнее исправление: mandala (всего исправлений: 1)
Ответ на: комментарий от valet

Уточню, а то мало ли — предыдущее сообщение касается 7.11.

mandala ★★★★★
()
Ответ на: комментарий от mandala

Так мне такой вариант не подходит, с каких это пор, чтобы зайти на какой-то сайт нужно обновлять дистрибутив, вы серьезно? Другие варианты никак? Мне не хочется ламать всю рабочую систему (а я уверен, что при dist-upgrade точно что-то сломается и перестанет работать и тогда придется ломать мозг мне), меня все устраивает кроме вот такого вот беспредела по «неоткрытию НЕКОТОРЫХ сайтов по https»

valet
() автор топика
Ответ на: комментарий от valet

Подозреваю, что проблема в этом

valet@valet-comp:~$ openssl version OpenSSL 0.9.8o 01 Jun 2010

Но почему такое происходит? Нельзя ли как-то заставить систему игнорировать безопасность что ли (или в чем там проблема) чтобы открывались принудительно нужные мне сайты...

valet
() автор топика
Ответ на: комментарий от valet

а я уверен, что при dist-upgrade точно что-то сломается и перестанет работать и тогда придется ломать мозг мне

Там жаба и браузер, замены готовит команда LTS, можешь ограничиться 'apt-get upgrade' — придут только обновления безопасности.

Скачай портабельную версию с сайта лисы тогда, в конце концов.

mandala ★★★★★
()
Ответ на: комментарий от valet
$ openssl version
OpenSSL 1.0.1t  3 May 2016

Нельзя ли как-то заставить систему игнорировать безопасность что ли

Сайты выключили не безопасные протоколы на своей стороне. Тебя спасет портабельная версия, вот тебе пакет:

для amd64 — https://download.mozilla.org/?product=firefox-51.0.1-SSL&os=linux64&l...
для i386 — https://download.mozilla.org/?product=firefox-51.0.1-SSL&os=linux&lan...

ESR для amd64 — https://download.mozilla.org/?product=firefox-45.7.0esr-SSL&os=linux64&am...
ESR для i386 — https://download.mozilla.org/?product=firefox-45.7.0esr-SSL&os=linux&...

А так можешь сидеть с голым задом дальше, хозяин барин.

mandala ★★★★★
()
Последнее исправление: mandala (всего исправлений: 1)
Ответ на: комментарий от vtq34957

проблема в дебьяне

В дебиане нету проблемы, нечего брехать попусту. ЛТС поддерживается, и думаю даже на Squeeze заведется лиса в портабельной сборке.

А то что ТС боится накатить обновления безопасности — ну это его дело.

mandala ★★★★★
()
Последнее исправление: mandala (всего исправлений: 2)
Ответ на: комментарий от anonymous

Это в железе проблема.

В тебе проблема, задрал все темы зафлуживать.

mandala ★★★★★
()
Ответ на: комментарий от vtq34957

на сайтах ключи или протокол новый в дебьяне устаревшие(и каменного века) либы не поддерживают это

Да, сайты повыключали говно мамонта и правильно сделали. Все критические библиотеки 7.11 будут обновляться минимум до мая 2018 года. Для 8-ки и того дольше.

mandala ★★★★★
()
Ответ на: комментарий от EXL

Это обычное состояние современных HTTPS-сайтов, ничего удивительного. По-возможности, просто избегай их.

В рамках оффтопа: недавно набрёл на https-only говнолэндинг какой-то местной веб-шаражки с талантливыми верстальщиками™, так там мало того что с включённым NoScript вообще никакой контент не отображается, так ещё и сертификат на 3 месяца просрочен. Это чтобы ты представил масштабы бедствия.

h578b1bde ★☆
()
Ответ на: комментарий от mandala

ЛТС поддерживается, и думаю даже на Squeeze заведется лиса в портабельной сборке.

собственно на основном рабочем компе как раз древний как гавно мамонта сквиз, больше всего надо заставить работать как минимум этот сайт именно здесь. буду пробовать установить портабельную версию esr - надеюсь это не поломает iceweasel, он продолжит работать в штатном режиме или что-то сломается?

А то что ТС боится накатить обновления безопасности — ну это его дело.

Да, боюсь и смысла не вижу, как говориться «работает - не трогай». Когда-то на одном ноуте решил обновиться со сквиз до джесси. Делал все в точности по официальной инструкции с офсайта дебиана: там предлагалось, насколько я помню, поэтапное обновления сначала до визи, а потом до джесси... И кто бы сомневался - ничего не вышло, причем насколько я помню даже до визи не удалось проапгрейдиться - посыпались какие-то ошибки, я пробовал гуглить их и решать по мере поступления, в результате задолбался и тупо все снес и поставил свеженький дебиан 8 - только так... Поэтому сейчас ставить хоть какие-то обновления на рабочую лошадку очень не хочется, что-то сломается это точно и получу проблемы посерьезнее чем невозможность открыть некоторые сайты по https и тогда придется ломать мозг...

valet
() автор топика
Ответ на: комментарий от mandala

Да, сайты повыключали говно мамонта и правильно сделали

А чего правильно? Что это им дает? Я понимаю, что моя система может быть уязвимой если не обновлять, но им чем это грозит? И да, почему эти же сайты работают на древней винде с виртуалки, где тоже ничего никогда не обновлялось?

valet
() автор топика
Ответ на: комментарий от mandala

Все критические библиотеки 7.11 будут обновляться минимум до мая 2018 года. Для 8-ки и того дольше.

Вот это поворот... то есть если я не буду обновлять дистр, то рано или поздно у меня ни один сайт не откроется - так что ли? И сразу возникает мысль, а какого фига оно все без проблем работает на какой-то древней винде типа xp.

valet
() автор топика
Ответ на: комментарий от valet

установить портабельную версию esr - надеюсь это не поломает iceweasel, он продолжит работать в штатном режиме или что-то сломается?

Она живёт в отдельной директории в которую ты распакуешь архив. Но! Подхватывает дефолтный конфиг пользователя в хомяке, аккуратней, сломает: забекапь заранее. Еще искаропки настроено автообновление (во время работы только, без демонов), исправляется в настройках самой лисы одной галкой.

Когда-то на одном ноуте решил обновиться со сквиз до джесси.

В рамках одной ветки рекомендуется устанавливать обновления безопасности, у тебя там дыр сейчас как в дуршлаке, если не больше. И та самая эпичная в OpenSSL — Heartbleed. Тут в 7.11 дист-упгрейд касается ЛТС и замены совсем уж древностей (jawa, древний iceweasel на ESR-firefox). Для сквиза тоже был ЛТС и там обновы выходили, у меня нет уже их, можешь посмотреть — там был перенос репозиториев ЛТС на новые адреса, можешь поискать старые мануалы.

Поэтапно обновлять да, не всегда без проблем — сразу несколько выпусков особенно. Быстрее заново сконфигурировать, особенно всякие десктопы. Кстати, заморозка 5 февраля, емнип, так что если что-то будешь накатывать — ставь сразу тестинг.

mandala ★★★★★
()
Ответ на: комментарий от valet

Вот это поворот... то есть если я не буду обновлять дистр, то рано или поздно у меня ни один сайт не откроется - так что ли? И сразу возникает мысль, а какого фига оно все без проблем работает на какой-то древней винде типа xp.

На винде XP та же лиса как раз такая как я тебе дал ссылки на пакеты — всё своё носит с собой, нужной свежести. Поэтому и работает.

mandala ★★★★★
()
Последнее исправление: mandala (всего исправлений: 1)
Ответ на: комментарий от valet

А чего правильно? Что это им дает?

Меньше вероятность что будут скомпрометированы соединения. После Heartbleed думать о безопасности стали чуточку больше.

работают на древней винде с виртуалки, где тоже ничего никогда не обновлялось?

Какой там браузер и какая версия?

mandala ★★★★★
()
Последнее исправление: mandala (всего исправлений: 1)

Online.net Special Deals Order English Base price Company Blog Console Webmail Services status +1 302-782-0229 Online.net Online.net

Debian 8.7, Firefox 45 ESR из репозитория jessie

buratino ★★★★★
()
Ответ на: комментарий от mandala

И та самая эпичная в OpenSSL — Heartbleed.

Ой, нет, её нет — её еще не написали. Еще два года до добавления.

mandala ★★★★★
()
Ответ на: комментарий от buratino

Debian 2.2 попробуй. :)

Я почему-то всегда считал, что даже если у меня debian 1 сайты должны открываться все, казалось бы причем здесь ОС к сайтам...

Какой там браузер и какая версия?

лиса 46. Видимо сама обновляется, я ни разу там не заморачивался с этим.

valet
() автор топика
Ответ на: комментарий от mandala

На винде XP та же лиса как раз такая как я тебе дал ссылки на пакеты — всё своё носит с собой, нужной свежести. Поэтому и работает.

оригинально, возникает вопрос почему линуксовские браузеры все с собой не носят и как результат некоторые сайты перестают работать во всех браузерах, мда...

valet
() автор топика

Ca-certificates (или как там его) попробуй поставить. Потом попробуй sudo apt-get update; sudo apt-get upgrade; в stable обновления должны наверное прилететь нужные.

reedych
()
Ответ на: комментарий от valet

Я почему-то всегда считал, что даже если у меня debian 1 сайты должны открываться все, казалось бы причем здесь ОС к сайтам...

всё бежит, всё меняется. :) не к сайтам, а к моделям шифрования, будь они неладны

лиса 46. Видимо сама обновляется, я ни разу там не заморачивался с этим.

45-я, я уже посмотрел. штранно, штранно, чё ей, заразе, тогда не нравится? открой тикет, хотя LTS-команда тебя, скорее всего, с ним куда-то пошлёт :)

buratino ★★★★★
()
Ответ на: комментарий от reedych

Ca-certificates

он и в восьмом древний, а в седьмом - так вообще слёзы

buratino ★★★★★
()
Ответ на: комментарий от valet

оригинально, возникает вопрос почему линуксовские браузеры все с собой не носят

потому что в Linux нет причин дублировать всё, везде и во всех программах - ты разные части обновляешь независимо. почему LTS-team не обновляет сертификаты - спроси у них

кроме того, обычно нет смысла использовать седьмую версию дебиана, когда есть восьмая.

buratino ★★★★★
()
Ответ на: комментарий от buratino

кроме того, обычно нет смысла использовать седьмую версию дебиана, когда есть восьмая.

Когда ставится новая система, то да, нет смысла. Ну вот когда стоит даже 6ая и почти все устраивает, то апгрейд на более новые линейки не такая уж и приятная процедура...

valet
() автор топика
Ответ на: комментарий от reedych

Потом попробуй sudo apt-get update; sudo apt-get upgrade

Это вообще не вариант, проще будет даже через виртуалку с вендой открывать капризные сайты...

valet
() автор топика
Ответ на: комментарий от valet

не знаю, мне проще скопировать нужное, а затем с нуля всё накатить

потому что за годы накапливается куча пакетов в духе *вот это я ставил, чтобы открыть ту фигню*, *вот это я поставил на позырить, но так и забыл*, *вот эта фигня попала в саггесты, поэтому после удаления пакета осталась, хотя нафиг не нужна*, и так далее. про это всё просто не помнишь. проще поставить всё с нуля, и потом ставить всё по мере нужности - всё равно, весь локальный реп всегда есть на hdd.

а хранить несколько версий репов с разрастанием репозитория дебиана - уже накладно :)

buratino ★★★★★
()
Ответ на: комментарий от valet

ну тогда попробуй тупо в лоб скачать

https://packages.debian.org/jessie/all/ca-certificates/download

и затем установить через dpkg -i ca-траляля.deb

там вроде на версию debconf только зависимости завязаны, а какая она у тебя - я не помню

buratino ★★★★★
()
Ответ на: комментарий от valet

сейчас у меня, правда openbsd snapshots и 50-й firefox, но там тоже открывается

buratino ★★★★★
()
Ответ на: комментарий от buratino

понял, просто я как раз писал, что в 46ой лисе на винде открывается

valet
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.