Opoziv certifikata ne uspijeva: koji host do čega ne može doći

Certifikati mogu biti unutar svog roka važenja dok VPN još uvijek prijavljuje grešku autentifikacije, a neko zaključi da je certifikat opozvan. To su tri različite činjenice. Podatke o opozivu mora preuzeti uređaj koji obavlja validaciju, sa tačke objave navedene unutar samog certifikata. Kada taj uređaj ne može doći do tačke, provjera ne uspijeva iz razloga koji nisu povezani sa statusom certifikata.

Put preuzimanja pripada validatoru

Počnite identifikacijom validatora. Kada laptop provjerava certifikat pristupnika, preuzimanje obavlja laptop; kada pristupnik provjerava certifikat klijenta, to čini pristupnik. Usluga autentifikacije u pozadini može dodati treći validator sa sopstvenim mrežnim položajem. Svaki ima drugačiju rutu do interneta i drugačiju konfiguraciju proxyja. Dokazi prikupljeni na radnoj stanici administratora ne govore ništa o serveru unutar DMZ-a.

Zapišite certifikat, validator, vrijeme pokušaja i tačan statusni kod prije nego što bilo šta promijenite.

Pročitajte tačku objave iz certifikata

Certifikat navodi gdje se nalazi njegov status. Čitajte ta polja umjesto da pogađate adresu CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Prvo proširenje navodi tačke distribucije CRL, a drugo navodi metode pristupa informacijama o izdavaocu, koje mogu pokrivati OCSP status i preuzimanje certifikata izdavaoca. To su različiti mehanizmi, a OCSP responder nije CRL datoteka. Host objave je često običan web server, a ne mašina CA, jer izdavalac van mreže može potpisati CRL koji distribuira drugi server. Zato je firewall pravilo opisano kao pristup CA previše neodređeno da bi se implementiralo ili pregledalo.

Testirajte preuzimanje s uređaja koji validira

Izvedite test preuzimanja u okruženju koje zaista obavlja validaciju, s odobrenim materijalom certifikata i bez privatnih ključeva.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Pokretanje certutil provjerava lanac i izvještava koji su URL-ovi uspješno ili neuspješno preuzeti, dok curl poziv testira jednu adresu objave sa istog hosta i vraća samo statusni kod. Neuspjelo preuzimanje s dostupne adrese ukazuje na probleme sa sadržajem ili potpisom; greška veze ukazuje na rutiranje, DNS ili proxy. Sačuvajte oba rezultata, jer jedno uspješno preuzimanje ne dokazuje da je cijeli lanac upotrebljiv. Promijenite primjer hosta i putanje u tačku distribucije pronađenu u certifikatu.

Odvojite nedostajuće podatke od opozvanog statusa

Četiri ishoda izvana izgledaju slično: tačka je nedostupna, lista je zastarjela, listu je potpisao pogrešan izdavalac ili je certifikat zaista opozvan. Samo posljednji je statusni rezultat i samo on opravdava uklanjanje pristupa. Keširanje dodatno komplikuje sliku, jer ranije preuzeti podaci mogu sakriti neispravnu putanju objave do sljedećeg osvježavanja. Isključivanje provjere opoziva, brisanje nepovezanih certifikata ili ponovno pokretanje pristupnika sve zamjenjuju dijagnozu aktivnošću.

Nakon popravke forsirajte novu autentifikaciju i potvrdite da namjeravano preuzimanje statusa uspijeva. Gdje postoji kontrolirani testni identitet, potvrdite da se i dalje odbija, jer dostupnost koja uklanja provjeru nije popravka.