Sertifikatların ləğvi uğursuz olur: hansı host hara çata bilmir

Sertifikatlar etibarlılıq müddəti daxilində ola bilər, halbuki VPN hələ də autentifikasiya xətası bildirir və kimsə sertifikatın ləğv edildiyi qənaətinə gəlir. Bunlar üç fərqli faktdır. Ləğv məlumatlarını yoxlamanı aparan cihaz sertifikatın özü içində göstərilən dərc nöqtəsindən götürməlidir. Həmin cihaz nöqtəyə çata bilmədikdə, yoxlama sertifikatın statusu ilə əlaqəsi olmayan səbəblərdən uğursuz olur.

Götürmə yolunun sahibi yoxlayıcıdır

Yoxlayıcını müəyyən etməklə başlayın. Noutbuk şlüzün sertifikatını yoxlayanda götürməni noutbuk edir; şlüz müştəri sertifikatını yoxlayanda bunu şlüz edir. Arxa planda işləyən autentifikasiya xidməti öz şəbəkə mövqeyi ilə üçüncü yoxlayıcı əlavə edə bilər. Hər birinin internetə fərqli marşrutu və fərqli proxy konfiqurasiyası var. İnzibatçının iş stansiyasında toplanan dəlillər DMZ daxilindəki server haqqında heç nə demir.

Hər hansı dəyişiklik etməzdən əvvəl sertifikatı, yoxlayıcını, cəhd vaxtını və dəqiq status kodunu yazın.

Dərc nöqtəsini sertifikatdan oxuyun

Sertifikat öz statusunun harada olduğunu göstərir. CA ünvanını təxmin etmək əvəzinə həmin sahələri oxuyun.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Birinci genişlənmə CRL paylama nöqtələrini, ikincisi isə səlahiyyət məlumatına çıxış üsullarını sadalayır; bunlar OCSP statusunu və verən sertifikatının götürülməsini əhatə edə bilər. Bunlar fərqli mexanizmlərdir və OCSP cavabvericisi CRL faylı deyil. Dərc hostu çox vaxt CA maşını deyil, adi veb serverdir, çünki oflayn verən başqa serverin payladığı CRL-i imzalaya bilər. Buna görə CA-ya çıxış kimi təsvir edilən firewall qaydası tətbiq və ya nəzərdən keçirmə üçün çox qeyri-müəyyəndir.

Yoxlamanı aparan cihazdan götürməni yoxlayın

Götürmə testini həqiqətən yoxlama aparan mühitdə, təsdiqlənmiş sertifikat materialı ilə və şəxsi açarlar olmadan icra edin.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil işə salınması zənciri yoxlayır və hansı URL götürmələrinin uğurlu və ya uğursuz olduğunu bildirir, curl çağırışı isə eyni hostdan bir dərc ünvanını yoxlayır və yalnız status kodu qaytarır. Əlçatan ünvandan uğursuz götürmə məzmun və ya imza problemlərinə işarə edir; bağlantı xətası marşrutlaşdırma, DNS və ya proxy-yə işarə edir. Hər iki nəticəni saxlayın, çünki bir uğurlu götürmə bütün zəncirin istifadəyə yararlı olduğunu sübut etmir. Nümunədəki hostu və yolu sertifikatda tapılan paylama nöqtəsi ilə dəyişdirin.

Çatışmayan məlumatı ləğv statusundan ayırın

Dörd nəticə kənardan oxşar görünür: nöqtə əlçatmazdır, siyahı köhnəlmişdir, siyahı yanlış verən tərəfindən imzalanıb və ya sertifikat həqiqətən ləğv edilib. Yalnız sonuncusu status nəticəsidir və yalnız o, girişin silinməsini əsaslandırır. Keşləmə mənzərəni daha da mürəkkəbləşdirir, çünki əvvəl götürülmüş məlumatlar növbəti yenilənməyə qədər pozulmuş dərc yolunu gizlədə bilər. Ləğv yoxlamasını söndürmək, əlaqəsiz sertifikatları silmək və ya şlüzü yenidən başlatmaq diaqnozu fəaliyyətlə əvəz edir.

Düzəlişdən sonra yeni autentifikasiyanı məcburi edin və nəzərdə tutulan status götürməsinin uğurlu olduğunu təsdiqləyin. Nəzarət edilən test kimliyi varsa, onun hələ də rədd edildiyini təsdiqləyin, çünki yoxlamanı aradan qaldıran əlçatanlıq təmir deyil.