Sertifikaatnaam stem nie ooreen of is verval: hoe om dit te onderskei

Twee VPN-foute lyk van die gebruiker se stoel identies en verg tog teenoorgestelde regstellings. 'n Naam wat nie ooreenstem nie, sê die sertifikaat is geldig maar vir iets anders uitgereik. 'n Vervalfout sê die sertifikaat is op hierdie oomblik nie geldig nie. Nie een is 'n wagwoordprobleem nie, en om aanmeldingsgegewens te herstel is in albei gevalle die mees vermorste uur. Lees die mislukkende stadium voordat jy enigiets aanraak.

Die foutteks is die diagnose

Die kliënt sê vir jou watter kontrole misluk het, selfs wanneer die boodskap bondig is. 'n Naamkonflik noem die gasheernaam wat dit verwag het en die naam wat dit gevind het. 'n Vervalfout noem geldigheidsdatums of 'n tyd. Daardie twee sinne wys na verskillende dele van die sertifikaat.

Lees hulle by die stadium waar hulle verskyn. 'n Mislukking tydens die handskud is 'n sertifikaatprobleem; 'n mislukking nadat die tonnel op is, is 'n roeterings- of aanmeldingprobleem. Om die stadium te behou, is wat keer dat die ondersoek na onverwante instellings afdwaal.

As die mislukking tussen pogings wissel, het jy 'n derde moontlikheid: meer as een nodus agter dieselfde naam.

Naamkontroles: waarmee die kliënt vergelyk

Die kliënt vergelyk die identiteit wat dit geprogrammeer is om te verwag met die name in die sertifikaat, wat in die subjectAltName-uitbreiding woon. 'n Rou IP in die profiel, 'n alias wat die sertifikaat nie lys nie, of 'n naam wat bloot na dieselfde bediener oplos, misluk almal hierdie kontrole. Om die regte masjien te bereik is nie dieselfde as om die regte identiteit voor te hou nie.

Ondersoek die sertifikaat wat die bediener werklik voorhou, eerder as 'n lêer van 'n vroeëre poging. Die opdrag hieronder vra vir die naam wat jy opgestel het, so die antwoord sluit die sertifikaat in wat 'n werklike kliënt sou sien.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

'n Sertifikaat van 'n vertroude uitreiker kan steeds vir 'n ander diens wees. Hou die kliënt se naamkontroles aangeskakel, want om 'n CA te vertrou magtig nie elke naam wat daardie CA ooit onderteken het nie. Om die kontrole af te skakel, verander 'n opstellingsfout in 'n blootstelling.

Verval: wie se horlosie word gelees

Geldigheid is 'n paar tydstempels, en die verifieerder vergelyk hulle met sy eie horlosie. 'n Toestel met 'n verkeerde horlosie rapporteer 'n geldige sertifikaat as verval of as nog nie geldig nie, en die regstelling is die horlosie, nie die sertifikaat nie. 'n Verskil in tydsone-vertoning is nie dieselfde as 'n verkeerde onderliggende tyd nie.

Vergelyk die sertifikaatdatums met UTC op die kliënt voordat jy enigiets aflei:

openssl x509 -in cert.pem -noout -dates
date -u

As die datums werklik verby is, hernu deur die uitreiker. As 'n plaasvervanger bestaan maar nog nie geldig geword het nie, volg die ondersteunde oorskakeling eerder as om die horlosie te skuif om dit in te pas. Om 'n toestel terug te dateer om 'n sertifikaat te bevredig, is 'n besluit met gevolge ver buite die tonnel.

Waarom die regstelling van een die ander blootlê

Validasie loop 'n reeks kontroles, en die eerste mislukking stop die verslag. Herstel die naam en die kliënt kan jou dan sê die ketting is onvolledig of die sertifikaat het verval. Dit beteken nie die eerste kontrole was onnodig nie. Dit beteken die ketting het meer as een probleem gehad, so verwag die tweede fout eerder as om dit te lees as bewys dat die eerste regstelling verkeerd was.

Veelvuldige nodusse maak dit erger. 'n Lasgebalanseerde diens kan verskillende sertifikate van verskillende lede voorhou, so 'n toets wat twee keer slaag en een keer misluk, vertel jou van die vloot eerder as van jou kliënt. Hou die eweknie-adres en die pogingstyd in die diagnose.

Daardie detail is wat 'n wisselvallige kaartjie in 'n herproduseerbare een verander.

Bewys dit met 'n vars verbinding

Na die herstelling, maak 'n nuwe verbinding oop eerder as om 'n ou een te hervat, en bevestig dat die stadium wat vroeër misluk het, nou slaag. Bevestig dan dat die tonnel werklik verkeer dra, want 'n suksesvolle handskud is nie 'n werkende roete nie.

Hou die presiese foutstadium en die sertifikaatbesonderhede by die kaartjie.

Daardie rekord is wat die volgende persoon keer om rekeningwagwoorde te herstel vir 'n sertifikaatprobleem. Identiteit en geldigheid is aparte vrae, en RFC 5280 is die verwysing vir hoe die tweede een geëvalueer word.