Varování certifikátu se s VPN mění: porovnejte obě cesty

Varování certifikátu se objeví na kancelářské Wi-Fi a zmizí v okamžiku, kdy se připojí VPN. Je to skutečné pozorování, ale ne diagnóza. Víte jen to, že dva síťové stavy daly různé výsledky ověření, a seznam věcí, které to mohou způsobit, je dlouhý. Berte to jako kontrolované porovnání, ne jako důkaz, že je router kompromitovaný.

Stejné varování se může objevit i obráceně: čistě na místní síti, rozbité přes tunel. Oba směry vám dají dva datové body a žádné vysvětlení.

Držte porovnání na jedné proměnné najednou

Použijte stejný název hostitele, stejný profil prohlížeče a hodiny zařízení, které jste zkontrolovali. Zapište přesný text chyby a čas pro každý stav. VPN zapnutá a VPN vypnutá jsou označení dvou stavů; nejsou vysvětlením rozdílu.

Měňte jednu věc najednou. Pokud ve stejném pokusu změníte servery DNS, prohlížeč i síť, zjistili jste, že na něčem z toho záleží, což je skoro jako nezjistit nic.

Veďte si v poznámkách malou tabulku: stav, resolver, cílová adresa, chyba a otisk certifikátu. Pět řádků takové tabulky obvykle porazí hodinu dohadů.

Přečtěte kategorii chyby dřív než certifikát

Neshoda názvu, nedůvěryhodný vydavatel a propadlý certifikát jsou různé nálezy. Pokyny Chrome k chybám připojení je oddělují a přesný kód na chybové stránce vám řekne, který máte. Tento kód rozhoduje, co porovnat dál.

Pokud je chybou neshoda názvu, předložený certifikát nepokrývá název hostitele, který jste požadovali. Pokud jde o nedůvěryhodného vydavatele, řetěz nevede ke kořeni, kterému prohlížeč důvěřuje. Pokud jde o expiraci, data jsou špatná, což může také znamenat, že hodiny zařízení jsou špatné.

Nepřecházejte přes varování a neinstalujte neznámý kořen, jen aby se stránka načetla. Tím se nález mění ve skrytou změnu.

Porovnejte list, řetěz a kontext

Když se objeví jiný certifikát, zjistěte, zda každý patří zamýšlené službě. Schválená obnova nebo jiný koncový bod služby mohou vysvětlit legitimní změnu. Neočekávaný název nebo vydavatel je důvod zeptat se vlastníka služby, ne verdikt. Samotný otisk vám neřekne, na který z těchto případů se díváte.

Když se stejný list objeví v obou stavech, porovnejte dodaný řetěz a kontext ověření, místo abyste se zastavili u shodného otisku. Chyba se může týkat mezilehlého certifikátu nebo nastavení důvěry, ne samotného listu. Držte přesnou chybu vedle porovnání.

VPN může změnit cestu resolveru, zvolený cíl, cestu přes proxy nebo to, jak odpovídá služba založená na zdroji. Stránka, která se načte přes tunel, neidentifikuje, která z těchto proměnných byla důležitá. Přechod na veřejný resolver a to, že se stránka načte, není nezávislé potvrzení identity webu.

Napište předání, na které vlastník může jednat

Užitečná zpráva obsahuje zamýšlený název hostitele, dva časy pokusů, přesné chyby a veřejné údaje o certifikátu: subjekt, vydavatele, platnost, otisk a řetěz. Pokud zpráva opouští vaše schválené publikum, redigujte interní názvy.

Poté co vlastník dodá ověřenou opravu, zopakujte původní požadavek s nedotčeným běžným ověřením. Pak porovnání uzavřete se zapsaným výsledkem.

Pokud důkazy stále ukazují jen to, že jedna cesta uspěje a druhá selže, řekněte přesně to. Omezený a přesný nález je užitečnější než plošný reset routeru, změna úložiště důvěry nebo bezpečnostní výjimka, která odstraní příznak a skryje příčinu.