ssl_multicert: entries without dest_ip can override the default certificate
维护者通常 2 天内回复
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 48/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 活跃
- 技术栈
- cpp
- 领域
- networking
调研方向
Start by tracing how ssl_multicert entries are parsed and how the configuration converter handles omitted dest_ip; the issue does not name specific files or tests. Check the relevant tests for YAML and legacy ssl_multicert.config inputs, then run them. Done means omitted dest_ip stays empty, converted entries no longer gain "*", and the explicitly configured default certificate is used for clients without a matching SNI.
由索引模型根据 Issue 内容生成。
描述
On master, an entry without dest_ip is treated as dest_ip: "*". It competes with the explicitly configured default certificate.
For example:
ssl_multicert:
- ssl_cert_name: named.pem
ssl_key_name: named.key
- dest_ip: "*"
ssl_cert_name: default.pem
ssl_key_name: default.key
Expected: Clients with no SNI or an unmatched SNI receive default.pem.
Actual: The first entry to register "*" wins. Startup loads certificates concurrently, so the default can change between restarts. With the default reload concurrency of one, the first entry wins, making named.pem the default after a reload.
This affects both YAML and legacy ssl_multicert.config files on master. It does not affect 10.2.x and should be fixed before 11.0.
Workaround: Set dest_ip: "" on entries that should not be the default.
The fix should preserve an omitted dest_ip as empty. The configuration converter also needs updating: it currently writes dest_ip: "*" into entries that omitted it, so previously converted files will need correction.
- 主要语言
- C++
- 星标
- 2k
- 派生
- 881
- 平均合并
- 3 天 15 小时
- 30 天内合并 PR
- 94
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
apache/trafficserver 的其他 Issue
-
Branch build clones: mirror stalls, clone timeout and controller memory可能已有人在做 @bryancall 于 7 天前认领。 未关闭CI
apache/trafficserver#13839 · 已指派 1 人 ·
维护者通常 2 天内回复
-
traffic_ctl: apply --error-level to config reload results可能已有人在做 @brbzull0 于 8 天前认领。 未关闭traffic_ctl
apache/trafficserver#13832 · 已指派 1 人 ·
维护者通常 2 天内回复
-
header_rewrite: rm-destination after set-destination URL crashes traffic_server可能已有人在做 @moonchen 于 15 天前认领。 未关闭Bug Crash header_rewrite Plugins
apache/trafficserver#13800 · 已指派 1 人 ·
维护者通常 2 天内回复
-
难度 4/5 3-5 天 新手友好度 48/100
apache/trafficserver#13784 ·
维护者通常 2 天内回复
-
Plugins
难度 5/5 一周以上 新手友好度 35/100
apache/trafficserver#13774 ·
维护者通常 2 天内回复
查看 apache/trafficserver 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 82/100
NVIDIA-Omniverse/usd-brep#23 ·
-
难度 2/5 1-3 小时 新手友好度 68/100
qbittorrent/qBittorrent#25121 ·
维护者通常 2 天内回复
-
SVT-AV1: Unnecessary size padding可能已有人在做 @pszemus 今天认领。 未关闭
难度 2/5 1-3 小时 新手友好度 82/100
strukturag/libheif#1945 ·
维护者通常 1 天内回复
-
v9.6.0: CMake incorrectly enforces presence of libevdev可能已有人在做 关联的 PR 仍在进行中或已合并。 未关闭
难度 2/5 1-3 小时 新手友好度 67/100
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 65/100
mltframework/shotcut#1943 ·
维护者通常 1 天内回复