Neslaganje imena certifikata ili istek: kako ih razlikovati

Dva kvara VPN-a izgledaju identično iz korisničke stolice i traže suprotne popravke. Neslaganje imena kaže da je certifikat važeći, ali izdat za nešto drugo. Greška isteka kaže da certifikat nije važeći u ovom trenutku. Nijedno nije problem s lozinkom, a resetovanje akreditiva je najčešće izgubljeni sat u oba slučaja. Pročitajte fazu u kojoj nastaje greška prije nego što bilo šta dirnete.

Tekst greške je dijagnoza

Klijent vam kaže koja provjera nije uspjela, čak i kada je poruka kratka. Neslaganje imenuje hostname koji je očekivao i ime koje je pronašao. Greška isteka spominje datume važenja ili vrijeme. Te dvije rečenice pokazuju na različite dijelove certifikata.

Čitajte ih u fazi u kojoj se pojavljuju. Kvar tokom rukovanja je problem certifikata; kvar nakon podizanja tunela je problem usmjeravanja ili akreditiva. Zadržavanje faze je ono što sprječava da istraga sklizne u nepovezane postavke.

Ako se kvar razlikuje između pokušaja, imate treću mogućnost: više od jednog čvora iza istog imena.

Provjere imena: šta klijent poredi

Klijent poredi identitet koji je konfigurisan da očekuje sa imenima u certifikatu, koja žive u ekstenziji subjectAltName. Sirovi IP u profilu, alias koji certifikat ne navodi ili ime koje se samo razrješava na isti server, svi padaju na ovoj provjeri. Doći do prave mašine nije isto što i predstaviti pravi identitet.

Pregledajte certifikat koji server zaista predstavlja, a ne datoteku iz ranijeg pokušaja. Naredba ispod traži ime koje ste konfigurisali, pa odgovor uključuje certifikat koji bi pravi klijent vidio.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Certifikat od pouzdanog izdavaoca i dalje može biti za drugu uslugu. Držite provjere imena u klijentu uključenim, jer povjerenje u CA ne ovlašćuje svako ime koje je taj CA ikada potpisao. Isključivanje provjere pretvara grešku u konfiguraciji u izloženost.

Istek: čiji se sat čita

Važenje je par vremenskih oznaka, a verifikator ih poredi sa sopstvenim satom. Uređaj sa pogrešnim satom prijavljuje važeći certifikat kao istekao ili kao još nije važeći, a popravka je sat, a ne certifikat. Razlika u prikazu vremenske zone nije isto što i pogrešno osnovno vrijeme.

Uporedite datume certifikata sa UTC-om na klijentu prije nego što bilo šta zaključite:

openssl x509 -in cert.pem -noout -dates
date -u

Ako su datumi zaista prošli, obnovite preko izdavaoca. Ako zamjena postoji ali još nije postala važeća, slijedite podržani prelaz umjesto da pomjerate sat da joj se prilagodite. Vraćanje datuma uređaja unazad da bi se zadovoljio certifikat je odluka s posljedicama daleko izvan tunela.

Zašto popravka jednog otkriva drugo

Validacija izvršava niz provjera, a prvi kvar zaustavlja izvještaj. Popravite ime i klijent vam tada može reći da lanac nije potpun ili da je certifikat istekao. To ne znači da prva provjera nije bila potrebna. Znači da je lanac imao više od jednog problema, pa očekujte drugu grešku umjesto da je čitate kao dokaz da je prva popravka bila pogrešna.

Više čvorova ovo pogoršava. Usluga s balansiranjem opterećenja može predstavljati različite certifikate različitih članova, pa test koji dva puta prođe i jednom padne govori vam o floti, a ne o vašem klijentu. Zadržite adresu sagovornika i vrijeme pokušaja u dijagnozi.

Taj detalj pretvara nestabilan tiket u ponovljiv.

Dokažite to novom vezom

Nakon popravke otvorite novu vezu umjesto da nastavljate staru, i potvrdite da faza koja je prije padala sada prolazi. Zatim potvrdite da tunel zaista prenosi saobraćaj, jer uspješno rukovanje nije ispravna ruta.

Sačuvajte tačnu fazu greške i detalje certifikata uz tiket.

Taj zapis sprječava sljedeću osobu da resetuje lozinke računa zbog problema s certifikatom. Identitet i važenje su odvojena pitanja, a RFC 5280 je referenca za to kako se drugo ocjenjuje.