HTTPS funktioniert nicht mit Safari

15

Ich habe eine EC2-Instanz mit Apache als Webserver (und Wildfly als App-Server, obwohl ich nicht sicher bin, ob es irgendetwas mit diesem Problem zu tun hat). Vor EC2 habe ich einen Load Balancer, der HTTPS beendet und das SSL-Zertifikat anwendet.

Sowohl HTTP als auch HTTPS funktionieren gut in Chrome, aber leider nicht in Safari. Der Zugriff auf http://test.papereed.com funktioniert einwandfrei, der Zugriff auf https://test.papereed.com führt jedoch zu einem Fehler

"Safari can't open the page. The error is "The operation couldn't be completed. Protocol error" (NSPOSIXErrorDomain:100)"

Ich habe in / etc / httpd / logs / error_log und / etc / httpd / logs / access_log und auch in der Safari-Konsole nachgesehen, ohne einen Hinweis zur Lösung des Problems zu finden. Und das ist ungefähr, wie weit mein Wissen geht :-( Irgendwelche Hinweise, wie man dieses Problem aufspürt, wären sehr dankbar.

ssl https safari

— jola
quelle

21

curl (wenn mit HTTP / 2-Unterstützung kompiliert) weist das gleiche Problem auf, zeigt jedoch den Grund:

http2-Fehler: Ungültiges HTTP-Headerfeld empfangen: Rahmentyp: 1, Stream: 1, Name: [Upgrade], Wert: [h2, h2c]

Es sieht so aus, als würde Ihr Server ein Upgrade auf HTTP / 2 anbieten, obwohl die Verbindung bereits mit HTTP / 2 hergestellt wurde - was keinen Sinn macht. Nicht nur das, es ist ausdrücklich verboten. In RFC 7540, Abschnitt 8.1.2.2 :

Ein Endpunkt DARF KEINE HTTP / 2-Nachricht generieren, die verbindungsspezifische Headerfelder enthält. jede Nachricht verbindungsspezifische Headerfelder enthalten muss als fehlerhaft behandelt wird (Abschnitt 8.1.2.6) .... connection- spezifische Header - Felder, wie Keep-Alive - Proxy-Verbindung, Transfer-Encoding und Aktualisieren

Es sieht für mich nach einem Bug aus, da Apache diesen Header nicht mit HTTP / 2 senden sollte.

Ich vermute, dass Sie eine solche Konfiguration haben

Protocols h2 h2c http/1.1

Da Browser HTTP / 2 ohnehin nicht ohne TLS unterstützen und bei HTTP / 2 über TLS kein Upgrade-Header erforderlich ist, empfehle ich, diese Konfiguration durch zu ersetzen

Protocols h2 http/1.1

Dadurch wird die Unterstützung für nicht benötigtes HTTP / 2 ohne TLS deaktiviert, der Upgrade-Header sollte jedoch hoffentlich auf diese Weise entfernt werden, da dies nur für das Upgrade von einfachem HTTP auf einfachem HTTP / 2 erforderlich ist.

EDIT: laut Kommentar des OP hat das Ändern der ProtocolsKonfiguration nicht geholfen. Es war notwendig, dieses Verhalten (dh den Fehler) mod_http2durch Löschen des UpgradeHeaders explizit zu umgehen:

Header unset Upgrade

— Steffen Ullrich
quelle

2

Vielen Dank! Ich hatte in der Tat die folgende Konfiguration:

# Enable HTTP/2 by default # https://httpd.apache.org/docs/2.4/mod/core.html#protocols <IfModule mod_http2.c>     Protocols h2 h2c http/1.1 </IfModule>

Nach Ihrer Empfehlung und dem Wechsel zu wurde Protocols h2 http/1.1der Upgrade-Header nicht entfernt. Stattdessen behielt ich die Protokollzeile bei und fügte Folgendes hinzu: Header unset UpgradeEntfernen des Headers. Ich kann nicht sagen, dass ich zu 100% weiß, was / warum hier passiert, aber jetzt funktioniert es auch in Safari :-)

— Jola

@jola: danke für das feedback. Ich habe es in die Antwort aufgenommen.

— Steffen Ullrich

3

Ich denke, dies ist eher ein Safari-Problem als ein AWS / SSL-Problem. Die Suche nach diesem Fehler führt bei Google zu sehr vielen Ergebnissen.

Auf der Website wird alles nach dem SSL-Shopper-Test und dem SSL-Labs-Test überprüft .

Ich habe diese mögliche Lösung für das Problem gefunden.

Die Lösung bestand darin, in den Safari-Einstellungen unter Datenschutz alle Details aufzulisten. Dies lieferte ein Protokoll aller Websites, auf denen Cookies usw. verwendet wurden. Ich habe die Domain-Seite "Weather Network" gefunden und den gesamten Inhalt daraus entfernt. Ich konnte dann die Weather Network-Seite ohne Probleme neu laden. Ich gehe davon aus, dass dies für andere ähnliche singuläre Sites funktionieren würde.

Es gibt auch diese , die mit Apache getan werden könnte.

— Tim
quelle

Ja, ich habe dies gegoogelt, aber nichts gefunden, was direkt zutrifft (afaiu). Ich habe die vorgeschlagene Lösung für Nginx gelesen, bin mir aber nicht sicher, wie / ob dies für Apache gilt.

— Jola

Apache wird ohne Zweifel in der Lage sein, den "Upgrade" -Header zu löschen , was alles ist, was Nginx tut.

— Tim