Methu dirymu tystysgrifau: pa westeinydd na all gyrraedd beth

Gall tystysgrifau fod o fewn eu cyfnod dilysrwydd tra bod y VPN yn dal i adrodd methiant dilysu, a daw rhywun i'r casgliad bod y dystysgrif wedi ei dirymu. Mae'r rhain yn dri ffaith wahanol. Rhaid i'r ddyfais sy'n gwneud y dilysu adfer data dirymu o bwynt cyhoeddi a enwir y tu mewn i'r dystysgrif ei hun. Pan na all y ddyfais honno gyrraedd y pwynt, mae'r gwiriad yn methu am resymau nad oes dim i'w wneud â statws y dystysgrif.

Y dilysydd sy'n berchen ar y llwybr adfer

Dechreuwch drwy nodi'r dilysydd. Pan fydd gliniadur yn gwirio tystysgrif y porth, y gliniadur sy'n gwneud yr adferiad; pan fydd y porth yn gwirio tystysgrif cleient, y porth sy'n gwneud hynny. Gall gwasanaeth dilysu yn y cefndir ychwanegu trydydd dilysydd â'i leoliad rhwydwaith ei hun. Mae gan bob un lwybr gwahanol i'r rhyngrwyd a chyfluniad dirprwy gwahanol. Nid yw tystiolaeth a gasglwyd ar waith gwaith gweinyddwr yn dweud dim am weinydd y tu mewn i DMZ.

Ysgrifennwch y dystysgrif, y dilysydd, amser yr ymgais a'r cod statws union cyn newid unrhyw beth.

Darllenwch bwynt cyhoeddi'r dystysgrif

Mae'r dystysgrif yn enwi lle mae ei statws yn byw. Darllenwch y meysydd hynny yn lle dyfalu cyfeiriad CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Mae'r estyniad cyntaf yn rhestru pwyntiau dosbarthu CRL, a'r ail yn rhestru dulliau mynediad at wybodaeth awdurdod, a all gynnwys statws OCSP ac adfer tystysgrif y dyroddwr. Mae'r rhain yn fecanweithiau gwahanol, ac nid yw ymatebydd OCSP yn ffeil CRL. Mae'r westeinydd cyhoeddi yn aml yn weinydd gwe cyffredin yn hytrach na pheiriant CA, oherwydd gall dyroddwr all-lein lofnodi CRL y mae gweinydd arall yn ei ddosbarthu. Felly mae rheol mur tân a ddisgrifir fel mynediad at y CA yn rhy amwys i'w gweithredu neu ei hadolygu.

Profwch adferiad o'r ddyfais sy'n dilysu

Rhedwch y prawf adfer yn yr amgylchedd sy'n gwneud y dilysu mewn gwirionedd, gyda deunydd tystysgrif cymeradwy a heb allweddi preifat.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Mae rhedeg certutil yn gwirio'r gadwyn ac yn adrodd pa adferiadau URL a lwyddodd neu a fethodd, tra bod yr alwad curl yn profi un cyfeiriad cyhoeddi o'r un westeinydd ac yn dychwelyd cod statws yn unig. Mae adferiad wedi methu o gyfeiriad y gellir ei gyrraedd yn awgrymu problemau cynnwys neu lofnod; mae gwall cysylltiad yn awgrymu llwybreiddio, DNS neu ddirprwy. Cadwch y ddau ganlyniad, oherwydd nid yw un adferiad llwyddiannus yn profi bod y gadwyn gyfan yn ddefnyddiadwy. Newidiwch westeinydd a llwybr yr enghraifft i'r pwynt dosbarthu a ganfyddir yn y dystysgrif.

Gwahanwch ddata coll oddi wrth statws dirymu

Mae pedwar canlyniad yn edrych yr un fath o'r tu allan: mae'r pwynt yn anghyrhaeddadwy, mae'r rhestr yn hen, mae'r rhestr wedi ei llofnodi gan y dyroddwr anghywir, neu mae'r dystysgrif wedi ei dirymu mewn gwirionedd. Dim ond yr olaf yw canlyniad statws, a dim ond hwnnw sy'n cyfiawnhau tynnu mynediad. Mae cachu yn cymhlethu'r darlun ymhellach, oherwydd gall data a adferwyd yn gynt guddio llwybr cyhoeddi wedi torri tan yr adnewyddiad nesaf. Mae analluogi'r gwiriad dirymu, dileu tystysgrifau amherthnasol neu ailgychwyn y porth i gyd yn disodli diagnosis â gweithgarwch.

Ar ôl y cywiriad, gorfodwch ddilysu newydd a chadarnhewch fod yr adferiad statws a fwriadwyd yn llwyddo. Lle mae hunaniaeth brawf wedi ei rheoli, cadarnhewch ei bod yn dal i gael ei gwrthod, oherwydd nid yw argaeledd sy'n dileu'r gwiriad yn atgyweiriad.