Cloc ddyfais anghywir yn gallu stopio VPN: gwiriwch yr amser yn gyntaf

Mae’r VPN yn peidio â chysylltu, mae’r log yn sôn am dystysgrif, a’r redfa gyntaf yw disodli’r proffil. Mae cloc dyfais sydd allan o le o funudau neu oriau yn cynhyrchu’r un gwall yn union, oherwydd bernir dilysrwydd tystysgrif yn erbyn yr eiliad leol. Nid label y parth amser ar y sgrin yw’r broblem; yr amser sylfaenol yw hi. Gwiriwch y cloc cyn i chi gyffwrdd ag unrhyw ddeunydd tystysgrif.

Mae’r gwall yn edrych fel problem tystysgrif, nid problem cloc

Mae’r cydlawenhad TLS yn methu pan fo tystysgrif y parti arall y tu allan i’w ffenestr ddilysrwydd o gymharu â chloc y gwiriwr. Mae’r prawf hwnnw’n rhedeg ar y cleient, felly mae cloc cleient anghywir yn gwrthod tystysgrif gwbl dda. Mae testun y gwall yn enwi’r dystysgrif, a dyna pam mae pobl yn ei disodli ac yn gweld yr un methiant eto. Y cloc yw’r rhagdybiaeth rataf a dylid ei phrofi gyntaf.

Mae cloc o flaen yr amser real yn gwrthod tystysgrif gyfredol fel un wedi dod i ben; mae cloc y tu ôl yn gwrthod un mwy newydd fel un nad yw eto’n ddilys. Mae’r ddau neges yn pwyntio at ddyddiadau, ac mae’r ddau yn cael eu cynhyrchu heb unrhyw gysylltiad â’r awdurdod tystysgrif. Dyna’r arwydd: mae dod i ben go iawn yn effeithio ar bob cleient, tra bod problem cloc yn effeithio ar y peiriant sengl sydd â’r amser anghywir.

Darllenwch yr eiliad, yna’r dystysgrif

Argraffwch y cloc yn UTC a dyddiadau’r dystysgrif ei hun cyn newid unrhyw beth. Mae cymharu dau eiliad absoliwt yn dileu cwestiwn y parth amser o’r ymchwiliad yn llwyr. Os yw ffenestr y dystysgrif yn cynnwys yr eiliad bresennol, nid y dystysgrif yw eich methiant.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Os yw’r cloc lleol allan o le, gwiriwch a yw wedi’i gydamseru a â beth. Mae peiriant â chydamseru wedi’i analluogi, neu â ffynhonnell amser na all gyrraedd, yn drifftio nes bydd rhywbeth yn methu. Mae allbwn statws yn enwi’r ffynhonnell a’r addasiad llwyddiannus diwethaf, sy’n fwy defnyddiol na’r gwyriad presennol ar ei ben ei hun. Mae gwyriad mawr heb ffynhonnell wedi’i ffurfweddu yn broblem wahanol i wyriad bach yn erbyn ffynhonnell sy’n gweithio.

timedatectl timesync-status
chronyc tracking

Stopiwch os yw’r dystysgrif wedi dod i ben go iawn ar gyfer pob cleient. Yna mae’r cloc yn iawn ac mae angen adnewyddu’r dystysgrif, nid ei haddasu.

Mae codau mewngofnodi yn methu am reswm cysylltiedig ond gwahanol

Mae cyfrineiriau un-tro yn seiliedig ar amser yn tynnu eu gwerth o’r cam amser presennol, fel arfer tri deg eiliad. Mae dyfais y mae ei chloc allan o le mwy nag un neu ddau gam yn cynhyrchu codau na fydd y gweinydd yn eu derbyn, hyd yn oed os yw’r defnyddiwr wedi teipio’r digidau cywir. Mae’r gwall yn edrych fel cyfrinair anghywir, sy’n gyrru pobl i ddolen ailosod na all drwsio cloc.

Darganfyddwch pa gydran a wrthododd yr ymgais, oherwydd mae’r cleient VPN, y porth a’r darparwr hunaniaeth yn adrodd camau gwahanol. Os yw’r cod yn cael ei wrthod ond mae’r cyfrinair yn cael ei dderbyn, mae’r cyfrif yn iawn mae’n debyg a’r cloc yw’r drwgdybiaeth. Os yw’r ddau yn cael eu gwrthod, efallai bod y cyfrif wedi’i gloi a’r cloc yw trywydd ffug. Dilynwch ganllawiau adfer y darparwr yn hytrach na chymeradwyo ceisiadau na wnaethoch eu cychwyn.

Peidiwch â rhoi’r cloc yn ôl i wneud i god weithio. Mae’n cuddio’r achos ac yn torri’r prawf amser nesaf.

Trwsiwch y ffynhonnell, nid yr awr a ddangosir

Mae cydamseru yn wasanaeth rhwydwaith, a gall y twnnel newid a yw’r ffynhonnell amser yn gyrraeddadwy. Efallai y bydd ffynhonnell gorfforaethol yn gofyn am y twnnel, tra gall polisi rwystro ffynhonnell gyhoeddus. Gall pori weithio tra bod llwybr y gwasanaeth amser ei hun yn methu, a dyna pam mae’r ddibyniaeth hon yn hawdd i’w cholli. NTP yw’r protocol y tu ôl i’r addasiad, ac mae angen ei lwybr ei hun arno fel unrhyw wasanaeth arall.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Mae problem trefn cychwyn hefyd: gall cloc sydd ymhell iawn allan o le atal twnnel wedi’i ddilysu, ac efallai mai’r unig ffynhonnell amser ddefnyddiadwy sydd y tu ôl i’r twnnel hwnnw. Mae angen gweithdrefn ddogfennedig ar fflyd a reolir ar gyfer y cyflwr hwnnw, ac nid yw osgoi dilysu tystysgrif yn un. Ar ddyfais bersonol, defnyddiwch reolyddion amser yr system weithredu a darganfyddwch pam mae’r cloc yn cael ei golli ar ôl cau neu adfer. Mae gan beiriant sy’n drifftio ar bob cychwyn broblem caledwedd neu ffurfweddiad, nid problem VPN.

Ar ôl y trwsio, ceisiwch y cysylltiad gwreiddiol eto a darllenwch y gwall newydd ar wahân. Mae hunaniaeth gweinydd wael, tystysgrif a ddaeth i ben go iawn a chyfrif wedi’i wrthod yn dri methiant gwahanol, a’u cymysgu yw sut mae cywiriad cloc syml yn troi’n wythnos o newid proffiliau.