Sertifikat adında uyğunsuzluq və ya müddətin bitməsi: onları ayırd etmək

İki VPN nasazlığı istifadəçinin yerindən eyni görünür və əks düzəlişlər tələb edir. Ad uyğunsuzluğu sertifikatın etibarlı olduğunu, amma başqa bir şey üçün verildiyini bildirir. Müddətin bitməsi xətası sertifikatın bu anda etibarlı olmadığını bildirir. Heç biri parol problemi deyil və etimad məlumatlarını sıfırlamaq hər iki halda ən çox itirilən saatdır. Bir şeyə toxunmadan əvvəl uğursuz mərhələni oxuyun.

Xəta mətni diaqnozdur

Müştəri hansı yoxlamanın uğursuz olduğunu sizə deyir, mesaj qısa olsa belə. Uyğunsuzluq gözlənilən host adını və tapılan adı göstərir. Müddətin bitməsi xətası etibarlılıq tarixlərini və ya vaxtı qeyd edir. Bu iki cümlə sertifikatın müxtəlif hissələrinə işarə edir.

Onları göründükləri mərhələdə oxuyun. Əl sıxma zamanı uğursuzluq sertifikat problemidir; tunel qurulduqdan sonra uğursuzluq marşrutlaşdırma və ya etimad məlumatı problemidir. Mərhələni saxlamaq araşdırmanın əlaqəsiz ayarlara sürüşməsinin qarşısını alan şeydir.

Uğursuzluq cəhdlər arasında dəyişirsə, üçüncü bir ehtimalınız var: eyni ad arxasında birdən çox qovşaq.

Ad yoxlamaları: müştəri nəyi müqayisə edir

Müştəri gözləmək üçün konfiqurasiya edildiyi kimliyi sertifikatdakı adlarla müqayisə edir; bu adlar subjectAltName uzantısında yaşayır. Profildə xam IP, sertifikatın siyahıya almadığı ləqəb və ya sadəcə eyni serverə həll olunan ad bu yoxlamadan keçmir. Düzgün maşına çatmaq düzgün kimliyi təqdim etməklə eyni deyil.

Əvvəlki cəhddən qalan faylı deyil, serverin həqiqətən təqdim etdiyi sertifikatı yoxlayın. Aşağıdakı əmr konfiqurasiya etdiyiniz adı soruşur, ona görə cavab real müştərinin görəcəyi sertifikatı əhatə edir.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Etibarlı buraxıcıdan olan sertifikat yenə də başqa xidmət üçün ola bilər. Müştərinin ad yoxlamalarını aktiv saxlayın, çünki bir CA-ya etimad etmək o CA-nın imzaladığı hər ada icazə vermir. Yoxlamanı söndürmək konfiqurasiya xətasını məruz qalmağa çevirir.

Müddətin bitməsi: hansı saat oxunur

Etibarlılıq iki vaxt möhürüdür və yoxlayıcı onları öz saatı ilə müqayisə edir. Saatı səhv olan cihaz etibarlı sertifikatı bitmiş və ya hələ etibarlı deyil kimi bildirir və düzəliş sertifikat deyil, saatdır. Saat qurşağının göstərilmə fərqi səhv əsas vaxtla eyni şey deyil.

Nəticə çıxarmadan əvvəl müştəridə sertifikat tarixlərini UTC ilə müqayisə edin:

openssl x509 -in cert.pem -noout -dates
date -u

Tarixlər həqiqətən keçibsə, buraxıcı vasitəsilə yeniləyin. Əvəzləmə mövcuddursa, amma hələ etibarlı olmayıbsa, saatı ona uyğunlaşdırmaq əvəzinə dəstəklənən keçidi izləyin. Sertifikatı təmin etmək üçün cihazın tarixini geriyə çəkmək tuneldən çox kənara çıxan nəticələri olan qərardır.

Birini düzəltmək digərini niyə üzə çıxarır

Validasiya yoxlamalar ardıcıllığını işlədir və ilk uğursuzluq hesabatı dayandırır. Adı düzəldin, sonra müştəri sizə zəncirin natamam olduğunu və ya sertifikatın müddətinin bitdiyini deyə bilər. Bu, ilk yoxlamanın lazımsız olduğu demək deyil. Bu, zəncirdə birdən çox problemin olduğunu bildirir, ona görə ikinci xətanı ilk düzəlişin səhv olduğuna dəlil kimi oxumaq əvəzinə gözləyin.

Çoxsaylı qovşaqlar bunu pisləşdirir. Yüklə balanslaşdırılmış xidmət müxtəlif üzvlərdən müxtəlif sertifikatlar təqdim edə bilər, ona görə iki dəfə keçib bir dəfə uğursuz olan test sizə müştərinizdən deyil, donanmadan danışır. Diaqnozda peer ünvanını və cəhd vaxtını saxlayın.

Bu detal qeyri-sabit bileti təkrarlana bilən birinə çevirən şeydir.

Bunu təzə bağlantı ilə sübut edin

Təmirdən sonra köhnə bağlantını bərpa etmək əvəzinə yeni bağlantı açın və əvvəl uğursuz olan mərhələnin indi keçdiyini təsdiqləyin. Sonra tunelin həqiqətən trafik daşıdığını təsdiqləyin, çünki uğurlu əl sıxma işlək marşrut deyil.

Dəqiq xəta mərhələsini və sertifikat təfərrüatlarını biletlə birlikdə saxlayın.

Bu qeyd növbəti şəxsin sertifikat problemi üçün hesab parollarını sıfırlamasının qarşısını alan şeydir. Kimlik və etibarlılıq ayrı suallardır və RFC 5280 ikincisinin necə qiymətləndirildiyi üçün istinaddır.