Špatné hodiny zařízení mohou zastavit VPN: nejprve zkontrolujte čas

VPN se přestane připojovat, v logu se objeví certifikát a prvním instinktem je vyměnit profil. Hodiny zařízení, které jsou o minuty nebo hodiny vedle, vytvářejí přesně tuto chybu, protože platnost certifikátu se posuzuje proti místnímu okamžiku. Označení časového pásma na obrazovce není problém; problémem je samotný čas. Zkontrolujte hodiny, než se dotknete jakéhokoli materiálu certifikátu.

Chyba vypadá jako problém s certifikátem, ne s hodinami

TLS handshake selže, když certifikát protistrany spadne mimo své okno platnosti vůči hodinám ověřovatele. Tato kontrola běží na klientovi, takže špatné klientské hodiny odmítnou zcela dobrý certifikát. Text chyby pojmenovává certifikát, a proto ho lidé vymění a znovu vidí stejné selhání. Hodiny jsou levnější hypotéza a měly by se testovat první.

Hodiny napřed před skutečným časem odmítnou platný certifikát jako prošlý; hodiny pozadu odmítnou novější jako dosud neplatný. Obě zprávy ukazují na data a obě vznikají bez jakéhokoli kontaktu s certifikační autoritou. To je vodítko: skutečná expirace postihuje každého klienta, zatímco problém s hodinami postihuje jediný stroj se špatným časem.

Přečtěte okamžik, pak certifikát

Vypište hodiny v UTC a vlastní data certifikátu, než cokoli změníte. Porovnání dvou absolutních okamžiků zcela odstraní otázku časového pásma z vyšetřování. Pokud okno certifikátu obsahuje aktuální okamžik, certifikát není vaše selhání.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Pokud jsou místní hodiny špatné, zkontrolujte, zda jsou synchronizované a s čím. Stroj s vypnutou synchronizací nebo se zdrojem času, na který se nedostane, se rozjíždí, dokud něco neselže. Výstup stavu pojmenovává zdroj a poslední úspěšnou korekci, což je užitečnější než samotná aktuální odchylka. Velká odchylka bez nastaveného zdroje je jiný problém než malá odchylka vůči fungujícímu zdroji.

timedatectl timesync-status
chronyc tracking

Zastavte se, pokud certifikát skutečně vypršel pro každého klienta. Pak jsou hodiny v pořádku a certifikát potřebuje obnovu, ne seřízení.

Přihlašovací kódy selhávají z příbuzného, ale jiného důvodu

Jednorázová hesla založená na čase odvozují svou hodnotu z aktuálního časového kroku, obvykle třiceti sekund. Zařízení, jehož hodiny se rozejdou o více než krok nebo dva, vytváří kódy, které server nepřijme, i když uživatel zadal správné číslice. Chyba vypadá jako špatné heslo, což lidi pošle do cyklu resetování, který hodiny opravit nedokáže.

Zjistěte, která komponenta pokus odmítla, protože klient VPN, brána a poskytovatel identity hlásí různé fáze. Pokud je kód odmítnut, ale heslo přijato, účet je pravděpodobně v pořádku a podezřelým jsou hodiny. Pokud je odmítnuto obojí, účet může být uzamčen a hodiny jsou falešná stopa. Postupujte podle pokynů poskytovatele k obnově, místo abyste schvalovali výzvy, které jste neiniciovali.

Nevracejte hodiny zpět, aby kód fungoval. Skryje to příčinu a rozbije další kontrolu založenou na čase.

Opravte zdroj, ne zobrazenou hodinu

Synchronizace je síťová služba a tunel může změnit, zda je zdroj času dostupný. Firemní zdroj může vyžadovat tunel, zatímco veřejný zdroj může být blokován politikou. Prohlížení může fungovat, i když vlastní cesta časové služby selhává, a proto je tato závislost snadno přehlédnutelná. NTP je protokol, který za seřízením stojí, a potřebuje vlastní cestu jako každá jiná služba.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Existuje také problém pořadí zavádění: silně špatné hodiny mohou zabránit autentizovanému tunelu a jediný použitelný zdroj času může být za tímto tunelem. Spravovaná flotila potřebuje pro takový stav zdokumentovaný postup a obcházení ověření certifikátu jím není. Na osobním zařízení použijte vlastní ovládání času operačního systému a zjistěte, proč se hodiny po vypnutí nebo obnovení ztrácejí. Stroj, který se rozjíždí při každém startu, má problém s hardwarem nebo konfigurací, ne s VPN.

Po opravě zkuste znovu původní připojení a novou chybu čtěte zvlášť. Špatná identita serveru, certifikát, který skutečně vypršel, a odmítnutý účet jsou tři různá selhání a jejich míchání je způsob, jak se z prosté korekce hodin stane týden výměn profilů.