curl: как указать целевое имя хоста для запроса https

Ведь SNI в TLS так не работает. SNI, как и все, что связано с TLS, происходит до любого HTTP-трафика, поэтому заголовок Host не учитывается на этом этапе (но позже веб-серверу будет полезно узнать, к какому хосту вы подключаетесь).

Таким образом, чтобы включить SNI, вам нужен специальный переключатель в вашем HTTP-клиенте, чтобы указать ему отправить соответствующее расширение TLS во время рукопожатия с нужным вам значением имени хоста.

В случае curl вам потребуется как минимум версия 7.18.1 (на основе https://curl.haxx.se/changes.html), а затем автоматически используется значение, указанное в заголовке Host. Это также зависит от того, с какой версией OpenSSL (или эквивалентной библиотеки на вашей платформе) он связан.

См. пункт 1.10 документа https://curl.haxx.se/docs/knownbugs.html это говорит об ошибке, но объясняет, что происходит:

Вариант --connect-to также может быть полезен в вашем случае. Или --resolve вместо /etc/hosts, см. https://curl.haxx.se/mail/archive-2015-01/0042.html например, или https://makandracards.com/makandra/1613-make-an-http-request-to-a-machine-but-fake-the-hostname Вы можете добавить --verbose во всех случаях, чтобы увидеть более подробно, что происходит. См. этот пример: https://www.claudiokuenzler.com/blog/693/curious-case-of-curl-ssl-tls-sni-http-host-header ; там вы также увидите, как тестировать непосредственно с помощью openssl.

Если у вас есть a.example в /etc/hosts, вы должны просто запустить curl с https://a.example/, и он должен позаботиться о заголовке Host и, следовательно, SNI (или вместо этого использовать --resolve)

Итак, чтобы ответить на ваш вопрос напрямую, замените

curl --header 'Host: a.example' https://x.example

с

curl --connect-to a.example:443:x.example:443 https://a.example

и он должен работать идеально.

Выбранный ответ помог мне найти ответ, хотя он не содержит ответа. Ответ в почтовой/архивной ссылке, предоставленной Патриком Мевзеком, имеет неправильный номер порта. Поэтому даже следование этому ответу приведет к тому, что он продолжит терпеть неудачу.

Я использовал этот контейнер для запуска сервера отладки для проверки запросов. Я настоятельно рекомендую всем, кто отлаживает подобные проблемы, сделать то же самое.

Вот как ответить на вопрос ОП.

# Instead of this:
# curl --header 'Host: a.example'        https://x.example

# Do:
  host=a.example
  target=x.example

  ip=$(dig +short $target | head -n1)
  curl -sv   --resolve $host:443:$ip https://$host

Если вы хотите игнорировать неверные совпадения сертификатов, используйте -svk вместо -sv

curl -svk --resolve $host:443:$ip https://$host

Примечание. Поскольку вы используете https, вы должны использовать 443 в аргументе --resolve вместо 80, как указано в почта/архив