El nom del certificat no coincideix o ha caducat: com distingir-ho

Dues fallades de VPN semblen idèntiques des de la cadira de l'usuari i necessiten arreglaments oposats. Una discrepància de nom diu que el certificat és vàlid però emès per a una altra cosa. Un error de caducitat diu que el certificat no és vàlid en aquest moment. Cap dels dos no és un problema de contrasenya, i restablir les credencials és l'hora més malaguanyada en tots dos casos. Llegeixi l'etapa que falla abans de tocar res.

El text de l'error és el diagnòstic

El client li diu quina comprovació ha fallat, fins i tot quan el missatge és breu. Una discrepància anomena el nom d'amfitrió que esperava i el nom que ha trobat. Un error de caducitat esmenta dates de validesa o una hora. Aquestes dues frases apunten a parts diferents del certificat.

Llegeixi-les a l'etapa on apareixen. Una fallada durant l'encaixada de mans és un problema de certificat; una fallada després d'aixecar el túnel és un problema d'encaminament o de credencials. Retenir l'etapa és el que evita que la investigació derivi cap a paràmetres no relacionats.

Si la fallada varia entre intents, té una tercera possibilitat: més d'un node darrere del mateix nom.

Comprovacions de nom: què compara el client

El client compara la identitat que estava configurat per esperar amb els noms del certificat, que viuen a l'extensió subjectAltName. Una IP sense processar al perfil, un àlies que el certificat no llista o un nom que només resol al mateix servidor, tots fallen aquesta comprovació. Arribar a la màquina correcta no és el mateix que presentar la identitat correcta.

Inspeccioni el certificat que el servidor presenta realment, no un fitxer d'un intent anterior. L'ordre de sota demana el nom que ha configurat, així que la resposta inclou el certificat que veuria un client real.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Un certificat d'un emissor de confiança encara pot ser per a un altre servei. Mantingui les comprovacions de nom del client activades, perquè confiar en una CA no autoritza tots els noms que aquesta CA hagi signat mai. Desactivar la comprovació converteix un error de configuració en una exposició.

Caducitat: quin rellotge es llegeix

La validesa és una parella de marques de temps, i el verificador les compara amb el seu propi rellotge. Un dispositiu amb el rellotge equivocat informa d'un certificat vàlid com a caducat o com a encara no vàlid, i l'arranjament és el rellotge, no el certificat. Una diferència de visualització de zona horària no és el mateix que una hora de fons equivocada.

Compari les dates del certificat amb UTC al client abans de concloure res:

openssl x509 -in cert.pem -noout -dates
date -u

Si les dates realment han passat, renovi a través de l'emissor. Si existeix un substitut però encara no ha esdevingut vàlid, segueixi la transició suportada en lloc de moure el rellotge per acomodar-lo. Retrocedir la data d'un dispositiu per satisfer un certificat és una decisió amb conseqüències molt més enllà del túnel.

Per què arreglar un exposa l'altre

La validació executa una seqüència de comprovacions, i la primera fallada atura l'informe. Arregli el nom i el client pot llavors dir-li que la cadena és incompleta o que el certificat ha caducat. Això no vol dir que la primera comprovació fos innecessària. Vol dir que la cadena tenia més d'un problema, així que esperi el segon error en lloc de llegir-lo com a prova que el primer arranjament era equivocat.

Múltiples nodes ho empitjoren. Un servei equilibrat per càrrega pot presentar certificats diferents de membres diferents, així que una prova que passa dues vegades i falla una li parla de la flota, no del seu client. Mantingui l'adreça del parell i l'hora de l'intent al diagnòstic.

Aquest detall és el que converteix un tiquet inestable en un de reproduïble.

Demostri-ho amb una connexió nova

Després de la reparació, obri una connexió nova en lloc de reprendre'n una d'antiga, i confirmi que l'etapa que abans fallava ara passa. Després confirmi que el túnel realment transporta trànsit, perquè una encaixada de mans correcta no és una ruta que funcioni.

Retingui l'etapa exacta de l'error i els detalls del certificat amb el tiquet.

Aquest registre és el que evita que la següent persona restableixi contrasenyes de compte per un problema de certificat. Identitat i validesa són qüestions separades, i RFC 5280 és la referència de com s'avalua la segona.