Enw tystysgrif yn anghyson neu wedi dod i ben: sut i'w gwahaniaethu

Mae dau fethiant VPN yn edrych yr un fath o sedd defnyddiwr ac yn gofyn am gywiriadau cyferbyniol. Mae anghysondeb enw yn dweud bod y dystysgrif yn ddilys ond wedi'i chyhoeddi ar gyfer rhywbeth arall. Mae gwall dod i ben yn dweud nad yw'r dystysgrif yn ddilys ar hyn o bryd. Nid yw'r naill na'r llall yn broblem gyfrinair, ac ailosod cymwysterau yw'r awr fwyaf wastad yn y ddau achos. Darllenwch y cam sy'n methu cyn i chi gyffwrdd ag unrhyw beth.

Testun y gwall yw'r diagnosis

Mae'r cleient yn dweud wrthych pa wiriant a fethodd, hyd yn oed pan fo'r neges yn gryno. Mae anghysondeb yn enwi'r enw gwesteiwr yr oedd yn ei ddisgwyl a'r enw a ddaeth o hyd iddo. Mae gwall dod i ben yn sôn am ddyddiadau dilysrwydd neu amser. Mae'r ddwy frawddeg yn pwyntio at rannau gwahanol o'r dystysgrif.

Darllenwch nhw yn y cam lle maen nhw'n ymddangos. Methiant yn ystod yr ysgwyd llaw yw problem tystysgrif; methiant ar ôl i'r tiwnel godi yw problem llwybro neu gymwysterau. Cadw'r cam yw'r hyn sy'n atal yr ymchwiliad rhag crwydro i osodiadau diberthynas.

Os yw'r methiant yn amrywio rhwng ymgeisiau, mae gennych drydedd posibilrwydd: mwy nag un nod y tu ôl i'r un enw.

Gwiriadau enw: beth mae'r cleient yn ei gymharu

Mae'r cleient yn cymharu'r hunaniaeth yr oedd wedi'i ffurfweddu i'w disgwyl â'r enwau yn y dystysgrif, sy'n byw yn yr estyniad subjectAltName. Mae IP crai yn y proffil, alias nad yw'r dystysgrif yn ei restru, neu enw sy'n datrys i'r un gweinydd yn unig, i gyd yn methu'r gwiriad hwn. Nid yw cyrraedd y peiriant cywir yr un peth â chyflwyno'r hunaniaeth gywir.

Archwiliwch y dystysgrif y mae'r gweinydd yn ei chyflwyno mewn gwirionedd yn hytrach na ffeil o ymgais gynharach. Mae'r gorchymyn isod yn gofyn am yr enw a ffurfweddwyd gennych, felly mae'r ateb yn cynnwys y dystysgrif y byddai cleient go iawn yn ei gweld.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Gall tystysgrif gan gyhoeddwr dibynadwy fod ar gyfer gwasanaeth arall o hyd. Cadwch wiriadau enw'r cleient wedi'u galluogi, oherwydd nid yw ymddiried mewn CA yn awdurdodi pob enw y mae'r CA hwnnw erioed wedi'i lofnodi. Mae diffodd y gwiriad yn troi gwall cyfluniad yn amlygiad.

Dod i ben: cloc pwy sy'n cael ei ddarllen

Mae dilysrwydd yn bâr o stampiau amser, ac mae'r gwirydd yn eu cymharu â'i gloc ei hun. Mae dyfais â chloc anghywir yn adrodd tystysgrif ddilys fel un wedi darfod neu fel un nad yw'n ddilys eto, a'r cywiriad yw'r cloc, nid y dystysgrif. Nid yw gwahaniaeth arddangos parth amser yr un peth ag amser sylfaenol anghywir.

Cymharwch ddyddiadau'r dystysgrif ag UTC ar y cleient cyn casglu unrhyw beth:

openssl x509 -in cert.pem -noout -dates
date -u

Os yw'r dyddiadau wedi mynd heibio mewn gwirionedd, adnewyddwch trwy'r cyhoeddwr. Os oes amnewidiad ond nad yw wedi dod yn ddilys eto, dilynwch y trosglwyddiad a gefnogir yn hytrach na symud y cloc i'w gyd-fynd. Mae dyddio dyfais yn ôl i fodloni tystysgrif yn benderfyniad â chanlyniadau ymhell y tu hwnt i'r tiwnel.

Pam mae trwsio un yn datgelu'r llall

Mae gwirio'n rhedeg dilyniant o wiriadau, ac mae'r methiant cyntaf yn atal yr adroddiad. Trwsiwch yr enw ac yna gall y cleient ddweud wrthych fod y gadwyn yn anghyflawn neu fod y dystysgrif wedi dod i ben. Nid yw hynny'n golygu bod y gwiriad cyntaf yn ddiangen. Mae'n golygu bod gan y gadwyn fwy nag un broblem, felly disgwyliwch yr ail wall yn hytrach na'i ddarllen fel tystiolaeth bod y cywiriad cyntaf yn anghywir.

Mae nodau lluosog yn gwaethygu hyn. Gall gwasanaeth â chydbwysedd llwyth gyflwyno tystysgrifau gwahanol o aelodau gwahanol, felly mae prawf sy'n llwyddo ddwywaith ac yn methu unwaith yn sôn am y fflyd, nid am eich cleient. Cadwch gyfeiriad y cyfoed a'r amser ymgais yn y diagnosis.

Y manylyn hwnnw sy'n troi tocyn anwadal yn un atgynhyrchadwy.

Profwch hyn gyda chysylltiad ffres

Ar ôl y trwsio, agorwch gysylltiad newydd yn hytrach nag ailddechrau hen un, a chadarnhewch fod y cam a oedd yn methu bellach yn pasio. Yna cadarnhewch fod y tiwnel yn cario traffig mewn gwirionedd, oherwydd nid yw ysgwyd llaw llwyddiannus yn llwybr gweithio.

Cadwch gam cywir y gwall a manylion y dystysgrif gyda'r tocyn.

Y cofnod hwnnw sy'n atal y person nesaf rhag ailosod cyfrineiriau cyfrif am broblem tystysgrif. Mae hunaniaeth a dilysrwydd yn gwestiynau ar wahân, a RFC 5280 yw'r cyfeiriad ar gyfer sut mae'r ail yn cael ei werthuso.