Certifikatnavn passer ikke eller er udløbet: sådan skelner du

To VPN-fejl ser ens ud fra brugerens stol og kræver modsatte rettelser. Et navnemismatch siger, at certifikatet er gyldigt, men udstedt til noget andet. En udløbsfejl siger, at certifikatet ikke er gyldigt i dette øjeblik. Ingen af dem er et adgangskodeproblem, og nulstilling af legitimationsoplysninger er den mest spildte time i begge tilfælde. Læs det trin, der fejler, før du rører ved noget.

Fejlteksten er diagnosen

Klienten fortæller dig, hvilket tjek der fejlede, selv når meddelelsen er kort. Et mismatch nævner det værtsnavn, den forventede, og det navn, den fandt. En udløbsfejl nævner gyldighedsdatoer eller et tidspunkt. De to sætninger peger på forskellige dele af certifikatet.

Læs dem på det trin, hvor de vises. En fejl under håndtrykket er et certifikatproblem; en fejl efter at tunnelen er oppe er et routing- eller legitimationsproblem. Det er fastholdelsen af trinnet, der forhindrer undersøgelsen i at drive over i urelaterede indstillinger.

Hvis fejlen varierer mellem forsøg, har du en tredje mulighed: mere end én node bag samme navn.

Navnetjek: hvad klienten sammenligner

Klienten sammenligner den identitet, den var konfigureret til at forvente, med navnene i certifikatet, som ligger i subjectAltName-udvidelsen. En rå IP i profilen, et alias som certifikatet ikke oplister, eller et navn der blot opløses til samme server, fejler alle dette tjek. At nå den rigtige maskine er ikke det samme som at præsentere den rigtige identitet.

Undersøg det certifikat, serveren faktisk præsenterer, i stedet for en fil fra et tidligere forsøg. Kommandoen nedenfor spørger efter det navn, du konfigurerede, så svaret indeholder det certifikat, en rigtig klient ville se.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Et certifikat fra en betroet udsteder kan stadig være til en anden tjeneste. Hold klientens navnetjek aktiveret, fordi tillid til en CA autoriserer ikke ethvert navn, den CA nogensinde har signeret. Deaktivering af tjekket gør en konfigurationsfejl til en eksponering.

Udløb: hvis ur læses der

Gyldighed er et par tidsstempler, og verifikatoren sammenligner dem med sit eget ur. En enhed med forkert ur rapporterer et gyldigt certifikat som udløbet eller som endnu ikke gyldigt, og rettelsen er uret, ikke certifikatet. En forskel i tidszonevisning er ikke det samme som en forkert underliggende tid.

Sammenlign certifikatets datoer med UTC på klienten, før du konkluderer noget:

openssl x509 -in cert.pem -noout -dates
date -u

Hvis datoerne virkelig er passeret, forny gennem udstederen. Hvis der findes en erstatning, men den endnu ikke er blevet gyldig, følg den understøttede overgang i stedet for at flytte uret for at imødekomme den. At tilbagedatere en enhed for at tilfredsstille et certifikat er en beslutning med konsekvenser langt ud over tunnelen.

Hvorfor rettelse af det ene afslører det andet

Validering kører en sekvens af tjek, og den første fejl stopper rapporten. Ret navnet, og klienten kan derefter fortælle dig, at kæden er ufuldstændig eller at certifikatet er udløbet. Det betyder ikke, at det første tjek var unødvendigt. Det betyder, at kæden havde mere end ét problem, så forvent den anden fejl i stedet for at læse den som bevis på, at den første rettelse var forkert.

Flere noder gør det værre. En lastbalanceret tjeneste kan præsentere forskellige certifikater fra forskellige medlemmer, så en test, der består to gange og fejler én gang, fortæller dig om flåden, ikke om din klient. Behold peer-adressen og forsøgstidspunktet i diagnosen.

Den detalje er det, der gør en ustabil sag til en reproducerbar.

Bevis det med en frisk forbindelse

Efter reparationen skal du åbne en ny forbindelse i stedet for at genoptage en gammel, og bekræfte, at det trin, der før fejlede, nu består. Bekræft derefter, at tunnelen faktisk bærer trafik, fordi et vellykket håndtryk ikke er en fungerende rute.

Behold det præcise fejltrin og certifikatets detaljer sammen med sagen.

Den registrering er det, der forhindrer den næste person i at nulstille kontoadgangskoder på grund af et certifikatproblem. Identitet og gyldighed er adskilte spørgsmål, og RFC 5280 er referencen for, hvordan det andet vurderes.