Yanlış cihaz saatı VPN-i dayandıra bilər: əvvəlcə vaxtı yoxlayın

VPN qoşulmağı dayandırır, jurnal sertifikatdan bəhs edir və ilk instinkt profili dəyişmək olur. Dəqiqələr və ya saatlarla yanlış olan cihaz saatı məhz həmin xətanı yaradır, çünki sertifikatın etibarlılığı yerli ana görə qiymətləndirilir. Ekrandakı saat qurşağı etiketi problem deyil; əsas problem vaxtın özüdür. Hər hansı sertifikat materialına toxunmazdan əvvəl saatı yoxlayın.

Xəta saat problemi kimi deyil, sertifikat problemi kimi görünür

TLS əl sıxışması, qarşı tərəfin sertifikatı yoxlayıcının saatına nisbətən etibarlılıq pəncərəsindən kənara düşdükdə uğursuz olur. Bu yoxlama klientdə aparılır, buna görə də yanlış klient saatı tamamilə yaxşı sertifikatı rədd edir. Xəta mətni sertifikatın adını çəkir, ona görə insanlar onu dəyişir və eyni uğursuzluğu yenidən görürlər. Saat daha ucuz fərziyyədir və ilk növbədə yoxlanmalıdır.

Real vaxtdan irəli olan saat cari sertifikatı vaxtı keçmiş kimi rədd edir; geridə qalan saat daha yeni sertifikatı hələ qüvvədə deyil kimi rədd edir. Hər iki mesaj tarixləri göstərir və hər ikisi sertifikat orqanı ilə heç bir əlaqə olmadan yaranır. İpucu budur: həqiqi vaxtı keçmə bütün klientlərə təsir edir, saat problemi isə yalnız yanlış vaxtı olan bir maşına təsir edir.

Əvvəlcə anı oxuyun, sonra sertifikatı

Heç nəyi dəyişməzdən əvvəl saatı UTC ilə və sertifikatın öz tarixlərini çap edin. İki mütləq anı müqayisə etmək saat qurşağı sualını araşdırmadan tamamilə çıxarır. Sertifikat pəncərəsi cari anı əhatə edirsə, sertifikat sizin uğursuzluğunuz deyil.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Yerli saat yanlışdırsa, onun sinxronlaşdırılıb-sinxronlaşdırılmadığını və nə ilə sinxronlaşdığını yoxlayın. Sinxronlaşdırma söndürülmüş və ya çata bilmədiyi vaxt mənbəyi olan maşın nə isə uğursuz olana qədər sürüşür. Status çıxışı mənbəyi və son uğurlu düzəlişi göstərir ki, bu da yalnız cari kənarlaşmadan daha faydalıdır. Mənbə konfiqurasiya edilmədən böyük kənarlaşma, işləyən mənbəyə qarşı kiçik kənarlaşmadan fərqli bir problemdir.

timedatectl timesync-status
chronyc tracking

Sertifikat həqiqətən hər klient üçün vaxtı keçmişsə, dayanın. Onda saat qaydasındadır və sertifikat düzəliş deyil, yeniləmə tələb edir.

Giriş kodları əlaqəli, lakin fərqli səbəbdən uğursuz olur

Vaxta əsaslanan birdəfəlik parollar dəyərini cari vaxt addımından götürür, adətən otuz saniyə. Saatı bir-iki addımdan çox sürüşmüş cihaz, istifadəçi düzgün rəqəmləri yazsa belə, serverin qəbul etməyəcəyi kodlar yaradır. Xəta yanlış parol kimi görünür və bu, insanları saatı düzəldə bilməyən sıfırlama dövrəsinə salır.

Cəhdin hansı komponent tərəfindən rədd edildiyini müəyyənləşdirin, çünki VPN klienti, şlüz və kimlik provayderi müxtəlif mərhələlər barədə məlumat verir. Kod rədd edilirsə, parol isə qəbul olunursa, hesab çox güman ki, qaydasındadır və şübhəli saatdır. Hər ikisi rədd edilirsə, hesab bloklanmış ola bilər və saat yanlış istiqamətdir. Başlatmadığınız təsdiq sorğularını təsdiqləmək əvəzinə provayderin bərpa təlimatlarına əməl edin.

Kodun işləməsi üçün saatı geriyə qurmayın. Bu, səbəbi gizlədir və növbəti vaxta əsaslanan yoxlamanı pozur.

Mənbəni düzəldin, göstərilən saatı yox

Sinxronlaşdırma şəbəkə xidmətidir və tunel vaxt mənbəyinin əlçatan olub-olmadığını dəyişə bilər. Korporativ mənbə tunel tələb edə bilər, açıq mənbə isə siyasətlə bloklana bilər. Brauzer işləyə bilər, halbuki vaxt xidmətinin öz yolu uğursuz olur, buna görə də bu asılılığı qaçırmaq asandır. NTP düzəlişin arxasındakı protokoldur və hər hansı digər xidmət kimi öz yoluna ehtiyac duyur.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Bir də başlanğıc sırası problemi var: çox yanlış saat autentifikasiyalı tunelin qarşısını ala bilər və yeganə istifadə edilə bilən vaxt mənbəyi həmin tunelin arxasında ola bilər. İdarə olunan park bu vəziyyət üçün sənədləşdirilmiş prosedur tələb edir və sertifikat yoxlamasını yan keçmək belə bir prosedur deyil. Şəxsi cihazda əməliyyat sisteminin öz vaxt nəzarətindən istifadə edin və söndürmə və ya bərpadan sonra saatın niyə itirildiyini öyrənin. Hər açılışda sürüşən maşında aparat və ya konfiqurasiya problemi var, VPN problemi yox.

Təmirdən sonra orijinal bağlantını yenidən sınayın və yeni xətanı ayrıca oxuyun. Pis server kimliyi, həqiqətən vaxtı keçmiş sertifikat və rədd edilmiş hesab üç fərqli uğursuzluqdur və onları qarışdırmaq sadə saat düzəlişini bir həftəlik profil dəyişdirməsinə çevirən budur.