Certifikatadvarslen ændrer sig med VPN: sammenlign begge veje

En certifikatadvarsel vises på kontorets Wi-Fi og forsvinder i det øjeblik, VPN forbinder. Det er en reel observation, men ikke en diagnose. Alt, hvad du ved, er at to netværkstilstande gav forskellige valideringsresultater, og listen over ting, der kan forårsage det, er lang. Behandl det som en kontrolleret sammenligning, ikke som bevis for, at en router er kompromitteret.

Den samme advarsel kan også vises omvendt: rent på det lokale netværk, brudt gennem tunnelen. Begge retninger giver dig to datapunkter og ingen forklaring.

Hold sammenligningen på én variabel ad gangen

Brug det samme værtsnavn, den samme browserprofil og et enhedsur, du har kontrolleret. Noter den præcise fejltekst og tidspunktet for hver tilstand. VPN til og VPN fra er etiketter for to tilstande; de er ikke forklaringer på forskellen.

Skift én ting ad gangen. Hvis du skifter DNS-servere, browser og netværk i samme forsøg, har du lært, at noget i det sæt betyder noget, hvilket er tæt på at lære intet.

Hold en lille tabel i dine noter: tilstand, resolver, destinationsadresse, fejl og certifikatfingeraftryk. Fem rækker af den tabel slår normalt en times spekulation.

Læs fejlkategorien før certifikatet

Et navnemismatch, en ubetroet udsteder og et udløbet certifikat er forskellige fund. Chromes vejledning om forbindelsesfejl adskiller dem, og den præcise kode på fejlsiden fortæller dig, hvilken du har. Den kode afgør, hvad du skal sammenligne næste gang.

Hvis fejlen er et navnemismatch, dækker det præsenterede certifikat ikke det værtsnavn, du bad om. Hvis det er en ubetroet udsteder, fører kæden ikke til en rod, som browseren stoler på. Hvis det er udløb, er datoerne forkerte, hvilket også kan betyde, at enhedsuret er forkert.

Gå ikke forbi advarslen, og installer ikke en ukendt rod for at få siden til at indlæse. Det gør et fund til en skjult ændring.

Sammenlign bladet, kæden og konteksten

Når et andet certifikat vises, afgør, om hvert af dem hører til den tilsigtede tjeneste. En godkendt fornyelse eller et andet tjenesteslutpunkt kan forklare en legitim ændring. Et uventet navn eller en uventet udsteder er grund til at spørge tjenestens ejer, ikke en dom. Fingeraftrykket alene fortæller dig ikke, hvilket af disse du ser på.

Når det samme blad vises i begge tilstande, sammenlign den leverede kæde og valideringskonteksten i stedet for at stoppe ved det matchende fingeraftryk. Fejlen kan dreje sig om et mellemliggende certifikat eller en tillidsindstilling snarere end selve bladet. Hold den præcise fejl ved siden af sammenligningen.

VPN kan ændre resolverstien, den valgte destination, en proxysti eller hvordan en kildebaseret tjeneste svarer. En side, der indlæses gennem tunnelen, angiver ikke, hvilken af disse variabler der var vigtig. At skifte til en offentlig resolver og se siden indlæse er ikke en uafhængig bekræftelse af webstedets identitet.

Skriv en overdragelse, som ejeren kan handle på

En brugbar rapport indeholder det tilsigtede værtsnavn, de to forsøgstidspunkter, de præcise fejl og de offentlige certifikatoplysninger: emne, udsteder, gyldighed, fingeraftryk og kæde. Slør interne navne, hvis rapporten forlader dit godkendte publikum.

Når ejeren har leveret en verificeret rettelse, gentag den oprindelige anmodning med normal validering intakt. Luk derefter sammenligningen med resultatet skrevet ned.

Hvis beviserne stadig kun viser, at én vej lykkes, og den anden fejler, så sig præcis det. Et begrænset og præcist fund er mere brugbart end en bred router-nulstilling, en ændring af tillidslageret eller en sikkerhedsundtagelse, der fjerner symptomet og skjuler årsagen.