Няправільны гадзіннік прылады можа спыніць VPN: спачатку праверце час

VPN перастае падключацца, у журнале згадваецца сертыфікат, і першы інстынкт — замяніць профіль. Гадзіннік прылады, які адстае або спяшаецца на хвіліны ці гадзіны, дае менавіта такую памылку, бо тэрмін дзеяння сертыфіката ацэньваецца адносна мясцовага моманту. Этыкетка гадзіннага пояса на экране не з'яўляецца праблемай; праблемай з'яўляецца сам час. Праверце гадзіннік, перш чым чапаць любы матэрыял сертыфіката.

Памылка выглядае як праблема сертыфіката, а не як праблема гадзінніка

Рухапціск TLS не ўдаецца, калі сертыфікат суразмоўцы выходзіць за межы акна свайго тэрміну дзеяння адносна гадзінніка правяральніка. Гэтая праверка выконваецца на кліенце, таму няправільны гадзіннік кліента адхіляе цалкам добры сертыфікат. Тэкст памылкі называе сертыфікат, менавіта таму людзі замяняюць яго і зноў бачаць тую ж няўдачу. Гадзіннік — больш танкая гіпотэза, і яго трэба правяраць першым.

Гадзіннік, які спяшаецца адносна рэальнага часу, адхіляе бягучы сертыфікат як пратэрмінаваны; гадзіннік, які адстае, адхіляе больш новы як яшчэ не сапраўдны. Абодва паведамленні ўказваюць на даты, і абодва ўзнікаюць без якога-небудзь кантакту з цэнтрам сертыфікацыі. Гэта і ёсць прыкмета: сапраўдная пратэрмінацыя закранае кожнага кліента, а праблема гадзінніка — толькі тую адну машыну з няправільным часам.

Прачытайце момант, затым сертыфікат

Выведзіце гадзіннік у UTC і ўласныя даты сертыфіката, перш чым нешта змяняць. Параўнанне двух абсалютных момантаў цалкам прыбірае пытанне гадзіннага пояса з расследавання. Калі акно сертыфіката змяшчае бягучы момант, сертыфікат не з'яўляецца вашай няўдачай.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Калі мясцовы гадзіннік няправільны, праверце, ці сінхранізаваны ён і з чым. Машына з адключанай сінхранізацыяй або з крыніцай часу, да якой не можа дабрацца, дрыфтуе, пакуль нешта не зламаецца. Вывад стану называе крыніцу і апошнюю паспяховую карэкцыю, што карысней за адзін бягучы зрух. Вялікі зрух без настроенай крыніцы — гэта іншая праблема, чым малы зрух адносна працаздольнай крыніцы.

timedatectl timesync-status
chronyc tracking

Спыніцеся, калі сертыфікат сапраўды пратэрмінаваны для кожнага кліента. Тады гадзіннік у парадку, а сертыфікат патрабуе абнаўлення, а не карэкцыі.

Коды ўваходу не спрацоўваюць з роднаснай, але іншай прычыны

Аднаразовыя паролі на аснове часу бяруць сваё значэнне з бягучага кроку часу, звычайна трыццаць секунд. Прылада, чый гадзіннік зрушаны больш чым на крок-два, выдае коды, якія сервер не прыме, нават калі карыстальнік набраў правільныя лічбы. Памылка выглядае як няправільны пароль, што заганяе людзей у цыкл скіду, які не можа выправіць гадзіннік.

Вызначце, які кампанент адхіліў спробу, бо кліент VPN, шлюз і пастаўшчык ідэнтычнасці паведамляюць пра розныя этапы. Калі код адхілены, а пароль прыняты, уліковы запіс, хутчэй за ўсё, у парадку, і падазроны — гадзіннік. Калі адхілены абодва, уліковы запіс можа быць заблакаваны, а гадзіннік — ілжывы след. Ідзіце за інструкцыямі пастаўшчыка па аднаўленні, а не ўхваляйце запыты, якія вы не пачыналі.

Не пераводзьце гадзіннік назад, каб код спрацаваў. Гэта хавае прычыну і ламае наступную праверку на аснове часу.

Выпраўце крыніцу, а не паказаную гадзіну

Сінхранізацыя — гэта сеткавая паслуга, і тунель можа змяніць дасяжнасць крыніцы часу. Карпаратыўная крыніца можа патрабаваць тунеля, а публічная можа быць заблакавана палітыкай. Агляданне можа працаваць, пакуль уласны шлях службы часу не ўдаецца, таму гэтую залежнасць лёгка не заўважыць. NTP — гэта пратакол за карэкцыяй, і ён патрабуе ўласнага шляху, як любая іншая паслуга.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Ёсць таксама праблема парадку загрузкі: моцна няправільны гадзіннік можа перашкодзіць аўтэнтыфікаванаму тунелю, а адзіная прыдатная крыніца часу можа знаходзіцца за гэтым тунелем. Кіраваны парк патрабуе дакументаванай працэдуры для такога стану, і абыход праверкі сертыфіката нею не з'яўляецца. На асабістай прыладзе карыстайцеся ўласнымі сродкамі кіравання часам аперацыйнай сістэмы і высветліце, чаму гадзіннік губляецца пасля выключэння або аднаўлення. Машына, якая дрыфтуе пры кожнай загрузцы, мае праблему з абсталяваннем або канфігурацыяй, а не з VPN.

Пасля рамонту паўтарыце зыходнае злучэнне і прачытайце новую памылку асобна. Дрэнная ідэнтычнасць сервера, сертыфікат, які сапраўды пратэрмінаваны, і адхілены ўліковы запіс — гэта тры розныя няўдачы, і змешванне іх — гэта тое, як простая карэкцыя гадзінніка ператвараецца ў тыдзень замены профіляў.