cert8.db не е временен кеш: проверете собственика на хранилището

Стара тема в поддръжката съветва да изтриете файл с име cert8.db и VPN започва да работи. По-често тази последователност е съвпадение, отколкото решение. Файлът е база със сертификати и премахването му променя трайното състояние за сигурност по начини, които успешното стартиране не показва.

Замразен вход не е проблем с кеша

Кешът на браузъра пази копия на ресурси; базата със сертификати пази решения за доверие, сертификати и ключовете към тях. Изтриването на второто е по-близо до нулиране на самоличност, отколкото до изчистване на история. Ако клиентът е замръзнал при вход, полезното доказателство е кой процес кой профил е отворил и какво е записал в журнала, а не кой файл е премахнал форумен пост. Възпроизвеждането на замръзването и четенето на журнала на клиента отнема повече време от изтриване на файл и е единственият път до истинска причина.

Името на файла също носи история: NSS различава старите cert8.db и key3.db от базираните на SQLite cert9.db и key4.db. Запишете реда от журнала, който сте видели преди замръзването, защото това е единственото трайно доказателство, с което разполагате.

Кой профил всъщност отваря клиентът

Установете клиента, метода му за удостоверяване и хранилището, което чете. Тук има три пътя за вход: с помощта на браузър, вграден браузър и собствен клиент, и те не е задължително да споделят профил. База с правилното име в друга папка не е доказателство, че замразеният процес я е отворил. В Linux хранилището на NSS обикновено се намира под ~/.pki/nssdb на потребителя или в папка с профил на приложението. Двете схеми могат да съществуват на една машина, затова проверете и двете, ако миграцията е скорошна.

Избройте какво съдържа хранилището, преди да го промените: certutil -L -d sql:$HOME/.pki/nssdb отпечатва сертификатите, а същият инструмент с -K показва дали има ключове.

Ако командата съобщи, че базата не може да бъде отворена, намерили сте профила, който използва инструментът, но не непременно този, който е използвал VPN.

Направете резервно копие на профила преди всяка поправка

Затворете засегнатите приложения, след което копирайте цялата папка на профила по одобрения метод за архивиране. Базите със сертификати и ключове са свързано, но отделно състояние и запазването на един произволен файл не е план за възстановяване на цялата самоличност. Защитете копието, защото профилът може да съдържа частни ключове. Запишете какво и къде сте архивирали, за да има неуспешната поправка път назад.

След това потвърдете точния обхват на поправката с поддържащия екип. Пълно нулиране на хранилището, премахването на един известен остарял сертификат и поправка на профил на браузър са три различни промени с три различни риска.

След поправката влезте и прегледайте хранилището

След разрешена поправка влезте във VPN и потвърдете, че сертификатът на сървъра все още се проверява както трябва. Проверете, че самоличностите, необходими на работния процес, са налице и че не се е появил неочакван котва на доверие. Поправка, която кара връзката да работи чрез повече доверие отпреди, не е поправка.

Дръжте наблюдението и инструкцията отделно: едно изтриване, последвано от едно успешно стартиране, не е общо решение.

Ако замръзването се върне, запишете журнала на клиента и използвания профил, преди да промените каквото и да е друго. Този запис превръща догадката в диагноза.