Neuerdings HSTS?

[whiterabbit]

Hallo.
Seit gestern oder vorgestern bekomme ich beim Zugriff auf unseren Proxmox-Server keine Verbindung mehr über https:// und den default Port. Stattdessen erscheint:

Diese Verbindung ist nicht sicher

Der Inhaber von <domain.de> hat die Website nicht richtig konfiguriert.
Firefox hat keine Verbindung mit dieser Website aufgebaut, um Ihre
Informationen vor Diebstahl zu schützen.

Diese Website verwendet HTTP Strict Transport Security (HSTS),
um mitzuteilen, dass Firefox nur über gesicherte Verbindungen mit ihr
kommunizieren soll. Daher ist es nicht möglich, eine Ausnahme für
dieses Zertifikat anzulegen.

Seltsamerweise geht es zwischendurch aber dann doch immer mal wieder. Ist das eine Proxmox-Einstellung (z.B. seit einem Upgrade) oder wo soll ich suchen?

Danke!

 

[dcsapak]

gibt es auch eine website auf der domain via normalem https ? ist dort eventuell hsts aktiviert? ist ein proxy/reverse proxy dazwischen? load-balancer?

 

[whiterabbit]

Also das ist nur ein dyn-dns-Name, der auf unterschiedlichen Ports (über eine FritzBox) dann zu unterschiedlichen Rechnern weitergeleitet wird.
Allerdings ist es tatsächlich so, dass unter https://dyn-name.de eine NextCloud antwortet, wo HSTS eingestellt ist -- allerdings nicht auf Port 8006 sondern auf 443. Hängt das trotzdem zusammen? Warum war das bisher nie ein Problem -- jetzt aber schon?

 

[dcsapak]

nur wenn 'includeSubdomains' verwendet wird

siehe https://tools.ietf.org/html/rfc6797#section-11.4

 

[whiterabbit]

Hmmm - ich habe die Option auf dem apache-Server (der eigentlich nix damit zu tun haben kann) gerade deaktiviert und den Service neu gestartet -- der Fehler bleibt bestehen.
Noch seltsamer: Ein Kollege sagt, dass er problemlos zugreifen kann. Kann das auch am lokal verwendeten Firefox (hier 60.0.2 (64 Bit) unter Kubuntu) liegen?

Nachtrag: Ich habe es auch direkt mit der IP-Adresse versucht: https://<ip>:8006 -- gleiche Meldung.
Auch von meinem Smartphone aus kommt die Meldung -- meine Kollege bekommt sie weiterhin nicht. Wo soll ich da suchen? (ssh funktioniert übrigens wie gewohnt)

Noch ein Nachtrag: Klickt man bei der Meldung im Firefox auf "Erweitert", erhalte ich:

The certificate is only valid for the following names: 127.0.0.1, ::1%2360344576, localhost, 192.168.1.1, pve, pve.linux.local

Ich habe auf dem Proxmox-Server aber nichts in Sachen HSTS eingestellt -- bzw wüsste ich gerne, an welcher Stelle diese Einstellung gemacht werden...

 

[whiterabbit]

Das Problem ist gelöst ...
https://der-linux-admin.de/2016/08/browser-hsts-cache-loeschen/
(wobei mir immernoch nicht ganz klar ist, wie die Zeile überhaupt dorthin gekommen ist...)

 

[whiterabbit]

Ich muss nochmal zurückrudern ... das Problem ist doch nicht gelöst. Wenn man den Cache-Eintrag löscht, läuft es zwar einmalig. Aber beim nächsten Zugriff auf die Seite geht das Spielchen von vorne los und man erhält wieder die o.g. Warnung. Ist das nun ein lokales Problem meines Firefox oder ein Server Problem auf dem Proxmox-Server?