Η ανάκληση πιστοποιητικών αποτυγχάνει: ποιος υπολογιστής δεν φτάνει σε τι

Τα πιστοποιητικά μπορεί να βρίσκονται εντός της περιόδου ισχύος τους, ενώ το VPN εξακολουθεί να αναφέρει αποτυχία ελέγχου ταυτότητας, και κάποιος συμπεραίνει ότι το πιστοποιητικό έχει ανακληθεί. Πρόκειται για τρία διαφορετικά γεγονότα. Τα δεδομένα ανάκλησης πρέπει να τα ανακτήσει η συσκευή που εκτελεί την επικύρωση, από σημείο δημοσίευσης που ονομάζεται μέσα στο ίδιο το πιστοποιητικό. Όταν η συσκευή αυτή δεν μπορεί να φτάσει στο σημείο, ο έλεγχος αποτυγχάνει για λόγους που δεν σχετίζονται με την κατάσταση του πιστοποιητικού.

Ο επικυρωτής κατέχει τη διαδρομή ανάκτησης

Ξεκινήστε προσδιορίζοντας τον επικυρωτή. Όταν ένας φορητός υπολογιστής ελέγχει το πιστοποιητικό της πύλης, την ανάκτηση την εκτελεί ο φορητός· όταν η πύλη ελέγχει πιστοποιητικό πελάτη, την εκτελεί η πύλη. Μια υπηρεσία ελέγχου ταυτότητας στο παρασκήνιο μπορεί να προσθέσει τρίτο επικυρωτή με δική του θέση στο δίκτυο. Καθένας έχει διαφορετική διαδρομή προς το διαδίκτυο και διαφορετική ρύθμιση μεσολάβησης. Τα στοιχεία που συλλέγονται στον σταθμό εργασίας του διαχειριστή δεν λένε τίποτα για έναν διακομιστή μέσα σε DMZ.

Καταγράψτε το πιστοποιητικό, τον επικυρωτή, την ώρα της προσπάθειας και τον ακριβή κωδικό κατάστασης πριν αλλάξετε οτιδήποτε.

Διαβάστε το σημείο δημοσίευσης από το πιστοποιητικό

Το πιστοποιητικό δηλώνει πού βρίσκεται η κατάστασή του. Διαβάστε αυτά τα πεδία αντί να μαντεύετε μια διεύθυνση CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Η πρώτη επέκταση απαριθμεί σημεία διανομής CRL και η δεύτερη απαριθμεί μεθόδους πρόσβασης σε πληροφορίες αρχής, που μπορούν να καλύπτουν την κατάσταση OCSP και την ανάκτηση του πιστοποιητικού του εκδότη. Πρόκειται για διαφορετικούς μηχανισμούς και ο αποκριτής OCSP δεν είναι αρχείο CRL. Ο υπολογιστής δημοσίευσης είναι συχνά ένας κοινός διακομιστής ιστού και όχι το μηχάνημα της CA, επειδή ένας εκδότης εκτός σύνδεσης μπορεί να υπογράψει CRL που διανέμει άλλος διακομιστής. Επομένως ένας κανόνας τείχους προστασίας που περιγράφεται ως πρόσβαση στην CA είναι πολύ αόριστος για να εφαρμοστεί ή να ελεγχθεί.

Ελέγξτε την ανάκτηση από τη συσκευή που επικυρώνει

Εκτελέστε τη δοκιμή ανάκτησης στο περιβάλλον που πραγματικά εκτελεί την επικύρωση, με εγκεκριμένο υλικό πιστοποιητικών και χωρίς ιδιωτικά κλειδιά.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Η εκτέλεση του certutil επαληθεύει την αλυσίδα και αναφέρει ποιες ανακτήσεις URL πέτυχαν ή απέτυχαν, ενώ η κλήση curl δοκιμάζει μία διεύθυνση δημοσίευσης από τον ίδιο υπολογιστή και επιστρέφει μόνο έναν κωδικό κατάστασης. Μια αποτυχημένη ανάκτηση από προσβάσιμη διεύθυνση δείχνει προβλήματα περιεχομένου ή υπογραφής· ένα σφάλμα σύνδεσης δείχνει δρομολόγηση, DNS ή μεσολάβηση. Κρατήστε και τα δύο αποτελέσματα, γιατί μία επιτυχημένη ανάκτηση δεν αποδεικνύει ότι ολόκληρη η αλυσίδα είναι αξιοποιήσιμη. Αλλάξτε τον υπολογιστή και τη διαδρομή του παραδείγματος στο σημείο διανομής που βρέθηκε στο πιστοποιητικό.

Διαχωρίστε τα ελλιπή δεδομένα από την κατάσταση ανάκλησης

Τέσσερα αποτελέσματα φαίνονται ίδια από έξω: το σημείο δεν είναι προσβάσιμο, η λίστα είναι παρωχημένη, η λίστα έχει υπογραφεί από λάθος εκδότη ή το πιστοποιητικό είναι πραγματικά ανακλημένο. Μόνο το τελευταίο είναι αποτέλεσμα κατάστασης και μόνο αυτό δικαιολογεί την αφαίρεση πρόσβασης. Η προσωρινή αποθήκευση περιπλέκει περαιτέρω την εικόνα, αφού δεδομένα που ανακτήθηκαν προηγουμένως μπορούν να κρύψουν μια χαλασμένη διαδρομή δημοσίευσης μέχρι την επόμενη ανανέωση. Η απενεργοποίηση του ελέγχου ανάκλησης, η διαγραφή άσχετων πιστοποιητικών ή η επανεκκίνηση της πύλης αντικαθιστούν τη διάγνωση με δραστηριότητα.

Μετά τη διόρθωση, επιβάλετε νέο έλεγχο ταυτότητας και επιβεβαιώστε ότι η επιδιωκόμενη ανάκτηση κατάστασης πετυχαίνει. Όπου υπάρχει ελεγχόμενη δοκιμαστική ταυτότητα, επιβεβαιώστε ότι εξακολουθεί να απορρίπτεται, γιατί η διαθεσιμότητα που αφαιρεί τον έλεγχο δεν είναι επισκευή.