Pogrešan sat na uređaju može zaustaviti VPN: prvo provjerite vrijeme

VPN prestaje da se povezuje, log spominje certifikat, a prvi instinkt je zamijeniti profil. Sat uređaja koji kasni ili žuri nekoliko minuta ili sati proizvodi upravo tu grešku, jer se valjanost certifikata ocjenjuje prema lokalnom trenutku. Oznaka vremenske zone na ekranu nije problem; problem je samo vrijeme. Provjerite sat prije nego što dirnete bilo koji materijal certifikata.

Greška izgleda kao problem s certifikatom, a ne sa satom

TLS rukovanje ne uspijeva kada certifikat druge strane padne izvan svog roka valjanosti u odnosu na sat provjeravaoca. Ta provjera se izvodi na klijentu, pa pogrešan klijentski sat odbija potpuno ispravan certifikat. Tekst greške imenuje certifikat, i zato ga ljudi zamjene i ponovo vide isti neuspjeh. Sat je jeftinija hipoteza i treba ga prvo ispitati.

Sat koji žuri u odnosu na stvarno vrijeme odbija važeći certifikat kao istekao; sat koji kasni odbija noviji kao još nije važeći. Obje poruke ukazuju na datume i obje nastaju bez ikakvog kontakta s izdavaocem certifikata. To je znak: stvarni istek pogađa svakog klijenta, dok problem sa satom pogađa jednu jedinu mašinu s pogrešnim vremenom.

Pročitajte trenutak, pa certifikat

Ispišite sat u UTC-u i vlastite datume certifikata prije nego što bilo šta promijenite. Poređenje dva apsolutna trenutka potpuno uklanja pitanje vremenske zone iz istrage. Ako okvir certifikata sadrži trenutni trenutak, certifikat nije vaš neuspjeh.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Ako lokalni sat nije tačan, provjerite da li je sinhronizovan i s čim. Mašina s isključenom sinhronizacijom ili s izvorom vremena do kojeg ne može doći odstupa dok nešto ne padne. Izlaz statusa imenuje izvor i posljednje uspješno podešavanje, što je korisnije od samog trenutnog odstupanja. Veliko odstupanje bez podešenog izvora je drugi problem od malog odstupanja prema izvoru koji radi.

timedatectl timesync-status
chronyc tracking

Zaustavite se ako je certifikat zaista istekao za svakog klijenta. Tada je sat u redu i certifikat treba obnovu, a ne podešavanje.

Kodovi za prijavu ne uspijevaju iz povezanog ali drugog razloga

Jednokratne lozinke zasnovane na vremenu crpe vrijednost iz trenutnog vremenskog koraka, obično trideset sekundi. Uređaj čiji sat odstupa više od koraka ili dva proizvodi kodove koje server neće prihvatiti, iako je korisnik otkucao tačne cifre. Greška izgleda kao pogrešna lozinka, što ljude šalje u ciklus resetovanja koji ne može popraviti sat.

Utvrdite koja je komponenta odbila pokušaj, jer VPN klijent, gateway i davalac identiteta izvještavaju o različitim fazama. Ako je kod odbijen a lozinka prihvaćena, račun je vjerovatno u redu i sat je sumnjivac. Ako je oboje odbijeno, račun je možda zaključan i sat je lažni trag. Slijedite upute davalca za oporavak umjesto da odobravate zahtjeve koje niste pokrenuli.

Ne vraćajte sat unazad da bi kod proradio. To skriva uzrok i kvari sljedeću provjeru zasnovanu na vremenu.

Popravite izvor, a ne prikazani sat

Sinhronizacija je mrežna usluga, a tunel može promijeniti da li je izvor vremena dostupan. Korporativni izvor može zahtijevati tunel, dok javni izvor može biti blokiran politikom. Pregledanje može raditi dok vlastita putanja vremenske usluge ne uspijeva, zbog čega je tu zavisnost lako propustiti. NTP je protokol iza podešavanja i treba mu vlastita putanja kao i svakoj drugoj usluzi.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Postoji i problem redoslijeda podizanja: jako pogrešan sat može spriječiti autentificirani tunel, a jedini upotrebljiv izvor vremena može stajati iza tog tunela. Upravljana flota treba dokumentovan postupak za to stanje, a zaobilaženje provjere certifikata to nije. Na ličnom uređaju koristite vlastite kontrole vremena operativnog sistema i otkrijte zašto se sat gubi nakon isključivanja ili vraćanja. Mašina koja odstupa pri svakom podizanju ima hardverski ili konfiguracijski problem, ne VPN problem.

Nakon popravke ponovo pokušajte originalnu vezu i pročitajte novu grešku odvojeno. Loš identitet servera, certifikat koji je zaista istekao i odbijen račun tri su različita neuspjeha, a njihovo miješanje je način na koji jednostavna korekcija sata postane sedmica zamjena profila.