Tystysgrif VPN heb fod yn ddilys eto: tri achos, un drefn wirio
Mae heb fod yn ddilys eto yn golygu bod cloc y ddyfais ar ei hôl hi, bod y ffenestr yn dechrau'n hwyrach mewn gwirionedd, neu nad yw tystysgrif ganoliadol wedi agor eto. Gwiriwch nhw yn y drefn honno.
Rydych chi'n agor y cleient, yn dewis y proffil rydych chi wedi'i ddefnyddio ers misoedd, ac mae'n stopio gyda "certificate is not yet valid". Nid oes dim wedi newid yn eich mewngofnodiad, ac mae'r storfa ymddiriedaeth yn debygol o fod yn iawn: mae'r dystysgrif a gyflwynir yn yr ysgwyd llaw yn cario ffenestr ddilysrwydd sy'n dechrau'n hwyrach na'r eiliad mae'r gwiriedydd yn ei defnyddio. Mae tair sefyllfa wahanol yn cynhyrchu'r union neges honno, ac maent yn galw am gamau gwahanol. Mae'r drefn isod yn dweud wrthych pa un sydd gennych cyn i chi gyffwrdd â chloc neu ffeil dystysgrif.
Pa un o'r tri achos rydych chi'n ei weld
Mae'r achos cyntaf yn lleol: mae gan y ddyfais sy'n gwneud y gwiriad gloc sy'n gynharach na dyddiad dechrau'r dystysgrif. Rydych chi'n ei weld ar galedwedd â batri CMOS marw, ar beiriannau rhithwir a adferwyd o snapshot hen, ar offer sydd wedi bod i ffwrdd yn ddigon hir i golli amser, ac ar rwydweithiau lle mae NTP allan wedi'i rwystro ac nad oes neb wedi sylwi. Gall y dystysgrif fod yn hollol ddilys a dal i fethu fel hyn.
Mae'r ail achos yn perthyn i'r dyroesydd, oherwydd mae'r dystysgrif mewn gwirionedd yn dechrau yn y dyfodol: ei dyroi'n gynnar, ei chynhyrchu ag amser dechrau penodol, neu ei llofnodi fel rhan o gam actifadu sydd heb redeg. Mae'r trydydd achos yn gwastraffu'r mwyaf o amser, oherwydd mae'r ddalen yn gyfredol tra nad yw tystysgrif arall yn y gadwyn a gyflwynwyd, felly mae'r gwall yn enwi deunydd na wnaethoch chi ei osod erioed.
Mae un cwestiwn yn eu gwahanu. A yw'r methiant yn dilyn y ddyfais neu'r gwasanaeth? Mae dwy beiriant ar yr un rhwydwaith yn ymddwyn yn wahanol yn cyfeirio at glociau. Mae pob cleient yn methu yr un ffordd yn cyfeirio at ffenestr y dystysgrif a'r gadwyn y tu ôl iddi.
Darllenwch y ffenestr o'r dystysgrif a gyflwynwyd mewn gwirionedd
Peidiwch ag archwilio ffeil PEM a adawyd o ddefnydd cynharach; gofynnwch i'r gwasanaeth am y gadwyn mae'n ei hanfon nawr. Mae openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts yn argraffu pob tystysgrif yn y gadwyn. Cadwch y bloc sydd o ddiddordeb i chi a rhedeg openssl x509 -noout -subject -issuer -dates; mae'r olaf yn argraffu notBefore a notAfter, a'r ddau werth hynny sy'n penderfynu. Ar Windows, mae deialog tystysgrif y cysylltiad a certutil -dump ar ffeil a allforiwyd yn dangos yr un meysydd.
Darllenwch ddau ben y ffenestr, nid y dechrau yn unig. Mae tystysgrif sy'n agor mewn dwy awr a honno sy'n cau mewn dwy awr yn methu â negeseuon gwahanol ac yn cynnwys timau gwahanol. Nodwch pa dystysgrif mae'r gwall yn ei henwi — dalen, canolraddol, neu wreiddyn — oherwydd mae hynny'n penderfynu a ellir trwsio unrhyw beth o gwbl ar ochr y cleient.
Gallwch hefyd brofi'r ffenestr heb aros amdani. Mae'r gwiriad yn derbyn amser penodol: mae openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem yn gwerthuso'r gadwyn ar yr amsernod hwnnw. Rheswch ef gyda'r amser cyfredol i atgynhyrchu'r methiant, yna gydag amser dechrau'r dystysgrif i gadarnhau bod yr un gadwyn yn pasio unwaith y bydd y ffenestr yn agor. Mae RFC 5280 yn diffinio'r maes dilysrwydd a'r rheol na ddylid defnyddio tystysgrif y tu allan iddo, a dyna'r rheol y mae eich cleient newydd ei gorfodi.
Eich cloc chi, neu eu cloc nhw
Cymharwch gloc y ddyfais â dechrau'r dystysgrif yn UTC, o ffynhonnell rydych chi'n ymddiried ynddi. Mae date -u yn rhoi'r eiliad, ac mae timedatectl status ar westeiwr systemd hefyd yn adrodd a yw'r cloc wedi'i gydamseru. Ar Windows, mae w32tm /query /status yn dangos y ffynhonnell gyfredol a'r cydamseriad llwyddiannus diwethaf. Mae cylchfa amser a ddangosir yn y hambwrdd yn ddewis arddangos, nid cloc anghywir; mae'r gwiriedydd yn cymharu eiliadau UTC.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
Os yw'r cloc ar ei hôl hi, ailsymudwch ac ailbrofwch cyn newid unrhyw ddeunydd tystysgrif. Mae dyfais sydd ychydig funudau neu oriau ar goll yn gwrthod pob tystysgrif a ddyrwwyd yn ddiweddar y mae'n dod ar ei thraws, nid un gwasanaeth yn unig, felly mae esboniad un-gwasanaeth fel arfer yn anghywir. Os yw'r cloc yn gywir ac wedi'i gydamseru, stopiwch edrych ar y ddyfais: mae'r ffenestr yn perthyn i'r dyroesydd, ac ni ddylid addasu unrhyw osodiad lleol i'w gwneud hi'n pasio.
Y tabl hwnnw yw'r penderfyniad cyfan. Nid yw symud eich cloc i'r hyn y mae'r dystysgrif yn ei ddisgwyl yn atgyweiriad, ac nid yw diffodd y gwiriadau amser yn un chwaith, oherwydd mae'r ddau yn cuddio'r cyflwr a gynhyrchodd y gwall.
Pam mae'r gadwyn yn methu tra bod y ddalen yn edrych yn iawn
Mae dalennau wedi'u hadnewyddu a thystysgrifau canolraddol amnewid yn cael eu cludo gyda'i gilydd fel arfer, ac nid ydynt bob amser yn glanio ar yr un eiliad. Gall gwasanaeth anfon dalen newydd wedi'i llofnodi gan ganoliad y mae ei ffenestr ei hun yn dechrau'n hwyrach, neu barhau i wasanaethu canoliad hŷn o dan ddalen ffres. Naill ffordd neu'r llall mae'r gadwyn yn methu tra bod dyddiadau'r ddalen ei hun yn edrych yn rhesymol.
Mae pwyntiau terfyn â chydbwyso llwyth yn troi hyn o fod yn fyrstur i fod yn anghyson. Os bydd ailgynnig yn llwyddo, neu os yw un rhwydwaith yn gweithio tra nad yw'r llall, cofnodwch pa gymar a atebodd a pha gadwyn a anfonodd cyn newid gosodiadau. Mae openssl s_client yn argraffu'r cyfeiriad cysylltiedig, felly mae ychydig o ymdrechion yn datgelu a yw pob nod yn gwasanaethu'r un gadwyn.
Llwybrau atgyweirio sy'n cadw'r gwiriad yn gyfan
Mae problem cloc yn cael ei thrwsio ar y ddyfais gyda'r gwiriad yn parhau i fod ymlaen. Mae problem tystysgrif yn cael ei thrwsio gan y gweithredwr gyda deunydd a ddyrwwyd ar gyfer ffenestr sy'n cynnwys nawr yn barod. Nid oes unrhyw osodiad cleient yn gwneud tystysgrif heb fod yn ddilys eto yn ddilys; mae'r baneri sy'n hepgor gwiriadau amser yn bodoli i gadarnhau diagnosis, nid i'w defnyddio mewn cynhyrchu.
Pan fo'r dystysgrif wedi'i pharatoi ar gyfer actifadu wedi'i gynllunio, dilynwch y cynllun trosglwyddo. Gosodwch hi pan fydd ei ffenestr yn agor, neu defnyddiwch y weithdrefn orgyffwrdd y mae'r darparwr yn ei dogfennu, yn hytrach na'i gosod yn gynnar a dysgu defnyddwyr i glicio trwy rybuddion. Mae rhybuddion y mae pobl yn dysgu eu hanwybyddu yn costio mwy na oedi byr.
Yn olaf, ailbrofwch yn y ffordd y digwyddodd y methiant: sesiwn newydd, yr un cleient, yr adnodd sydd ei angen arnoch mewn gwirionedd. Gall llyfrgelloedd TLS storio cadwyn wedi'i gwirio am oes cysylltiad, ac nid yw sesiwn a ailddechreuwyd o reidrwydd yn ei gwirio eto, felly gall hen sesiwn barhau i fethu ar ôl yr atgyweiriad neu barhau i weithio ar ôl dirywiad. Mae ffeil sy'n agor mewn gwyliwr yn profi dim ond bod y ffeil yn ddarllenadwy; mae ysgwyd llaw wedi'i gwblhau yn profi bod y gadwyn yn dilysu.
Cyn i chi gau'r tocyn, cadarnhewch bedwar peth: amser UTC a chyflwr cydamseru'r ddyfais sy'n methu, notBefore a notAfter pob tystysgrif yn y gadwyn a gyflwynwyd, yr un gadwyn o ail gleient, a'r enw mae'r gwall yn ei roi ar y dystysgrif. Os yw'r cloc yn iawn ac nad yw'r ffenestr wedi agor, gwaith y gweithredwr yw'r gweddill, a'r symudiad cywir ar eich ochr chi yw aros am y ffenestr yn hytrach na gwanhau'r gwiriad.