Ασυμφωνία ονόματος πιστοποιητικού ή λήξη: πώς τα ξεχωρίζουμε

Δύο αστοχίες VPN φαίνονται ίδιες από τη θέση του χρήστη και απαιτούν αντίθετες διορθώσεις. Μια ασυμφωνία ονόματος λέει ότι το πιστοποιητικό είναι έγκυρο αλλά εκδόθηκε για κάτι άλλο. Ένα σφάλμα λήξης λέει ότι το πιστοποιητικό δεν είναι έγκυρο αυτή τη στιγμή. Κανένα από τα δύο δεν είναι πρόβλημα κωδικού πρόσβασης, και η επαναφορά διαπιστευτηρίων είναι η πιο χαμένη ώρα και στις δύο περιπτώσεις. Διαβάστε το στάδιο που αποτυγχάνει πριν αγγίξετε οτιδήποτε.

Το κείμενο του σφάλματος είναι η διάγνωση

Ο πελάτης σάς λέει ποιος έλεγχος απέτυχε, ακόμη και όταν το μήνυμα είναι λακωνικό. Μια ασυμφωνία ονομάζει το όνομα κεντρικού υπολογιστή που περίμενε και το όνομα που βρήκε. Ένα σφάλμα λήξης αναφέρει ημερομηνίες ισχύος ή μια ώρα. Αυτές οι δύο προτάσεις δείχνουν σε διαφορετικά μέρη του πιστοποιητικού.

Διαβάστε τα στο στάδιο όπου εμφανίζονται. Μια αποτυχία κατά τη χειραψία είναι πρόβλημα πιστοποιητικού· μια αποτυχία αφού σηκωθεί η σήραγγα είναι πρόβλημα δρομολόγησης ή διαπιστευτηρίων. Η διατήρηση του σταδίου είναι αυτό που εμποδίζει την έρευνα να παρασυρθεί σε άσχετες ρυθμίσεις.

Αν η αποτυχία ποικίλλει μεταξύ προσπαθειών, έχετε μια τρίτη πιθανότητα: περισσότερους από έναν κόμβους πίσω από το ίδιο όνομα.

Έλεγχοι ονόματος: τι συγκρίνει ο πελάτης

Ο πελάτης συγκρίνει την ταυτότητα που είχε ρυθμιστεί να περιμένει με τα ονόματα στο πιστοποιητικό, τα οποία ζουν στην επέκταση subjectAltName. Μια ακατέργαστη IP στο προφίλ, ένα ψευδώνυμο που το πιστοποιητικό δεν απαριθμεί ή ένα όνομα που απλώς επιλύεται στον ίδιο διακομιστή, όλα αποτυγχάνουν αυτόν τον έλεγχο. Το να φτάσεις στο σωστό μηχάνημα δεν είναι το ίδιο με το να παρουσιάσεις τη σωστή ταυτότητα.

Εξετάστε το πιστοποιητικό που παρουσιάζει πραγματικά ο διακομιστής και όχι ένα αρχείο από προηγούμενη προσπάθεια. Η εντολή παρακάτω ζητά το όνομα που ρυθμίσατε, οπότε η απάντηση περιλαμβάνει το πιστοποιητικό που θα έβλεπε ένας πραγματικός πελάτης.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Ένα πιστοποιητικό από αξιόπιστο εκδότη μπορεί ακόμη να είναι για άλλη υπηρεσία. Κρατήστε τους ελέγχους ονόματος του πελάτη ενεργοποιημένους, γιατί η εμπιστοσύνη σε μια CA δεν εξουσιοδοτεί κάθε όνομα που έχει υπογράψει ποτέ αυτή η CA. Η απενεργοποίηση του ελέγχου μετατρέπει ένα σφάλμα διαμόρφωσης σε έκθεση.

Λήξη: ποιο ρολόι διαβάζεται

Η ισχύς είναι ένα ζεύγος χρονοσφραγίδων και ο επαληθευτής τις συγκρίνει με το δικό του ρολόι. Μια συσκευή με λάθος ρολόι αναφέρει ένα έγκυρο πιστοποιητικό ως ληγμένο ή ως μη έγκυρο ακόμη, και η διόρθωση είναι το ρολόι, όχι το πιστοποιητικό. Μια διαφορά εμφάνισης ζώνης ώρας δεν είναι το ίδιο με μια λανθασμένη υποκείμενη ώρα.

Συγκρίνετε τις ημερομηνίες του πιστοποιητικού με το UTC στον πελάτη πριν καταλήξετε σε οτιδήποτε:

openssl x509 -in cert.pem -noout -dates
date -u

Αν οι ημερομηνίες έχουν πραγματικά περάσει, ανανεώστε μέσω του εκδότη. Αν υπάρχει αντικατάσταση αλλά δεν έχει γίνει ακόμη έγκυρη, ακολουθήστε τη υποστηριζόμενη μετάβαση αντί να μετακινήσετε το ρολόι για να τη διευκολύνετε. Το να γυρίσετε πίσω την ημερομηνία μιας συσκευής για να ικανοποιήσει ένα πιστοποιητικό είναι απόφαση με συνέπειες πολύ πέρα από τη σήραγγα.

Γιατί η διόρθωση του ενός αποκαλύπτει το άλλο

Η επικύρωση εκτελεί μια ακολουθία ελέγχων και η πρώτη αποτυχία σταματά την αναφορά. Διορθώστε το όνομα και ο πελάτης μπορεί τότε να σας πει ότι η αλυσίδα είναι ελλιπής ή ότι το πιστοποιητικό έληξε. Αυτό δεν σημαίνει ότι ο πρώτος έλεγχος ήταν περιττός. Σημαίνει ότι η αλυσίδα είχε περισσότερα από ένα προβλήματα, οπότε περιμένετε το δεύτερο σφάλμα αντί να το διαβάσετε ως απόδειξη ότι η πρώτη διόρθωση ήταν λάθος.

Οι πολλοί κόμβοι το χειροτερεύουν. Μια υπηρεσία με εξισορρόπηση φορτίου μπορεί να παρουσιάζει διαφορετικά πιστοποιητικά από διαφορετικά μέλη, οπότε ένα τεστ που περνά δύο φορές και αποτυγχάνει μία σας λέει για τον στόλο και όχι για τον πελάτη σας. Κρατήστε τη διεύθυνση του ομοτίμου και τον χρόνο της προσπάθειας στη διάγνωση.

Αυτή η λεπτομέρεια είναι που μετατρέπει ένα ασταθές δελτίο σε αναπαραγώγιμο.

Αποδείξτε το με μια νέα σύνδεση

Μετά την επισκευή, ανοίξτε μια νέα σύνδεση αντί να συνεχίσετε μια παλιά, και επιβεβαιώστε ότι το στάδιο που αποτύγχανε τώρα περνά. Στη συνέχεια επιβεβαιώστε ότι η σήραγγα μεταφέρει πραγματικά κίνηση, γιατί μια επιτυχημένη χειραψία δεν είναι μια λειτουργική διαδρομή.

Κρατήστε το ακριβές στάδιο σφάλματος και τις λεπτομέρειες του πιστοποιητικού με το δελτίο.

Αυτό το αρχείο είναι που εμποδίζει τον επόμενο άνθρωπο να επαναφέρει κωδικούς πρόσβασης λογαριασμού για ένα πρόβλημα πιστοποιητικού. Η ταυτότητα και η ισχύς είναι ξεχωριστά ερωτήματα, και το RFC 5280 είναι η αναφορά για το πώς αξιολογείται το δεύτερο.