Λάθος ρολόι συσκευής μπορεί να σταματήσει το VPN: ελέγξτε πρώτα την ώρα

Το VPN σταματά να συνδέεται, το αρχείο καταγραφής αναφέρει πιστοποιητικό και η πρώτη παρόρμηση είναι να αντικαταστήσετε το προφίλ. Ένα ρολόι συσκευής που αποκλίνει κατά λεπτά ή ώρες παράγει ακριβώς αυτό το σφάλμα, επειδή η εγκυρότητα του πιστοποιητικού κρίνεται με βάση την τοπική στιγμή. Η ετικέτα ζώνης ώρας στην οθόνη δεν είναι το πρόβλημα· το πρόβλημα είναι η ίδια η ώρα. Ελέγξτε το ρολόι πριν αγγίξετε οποιοδήποτε υλικό πιστοποιητικού.

Το σφάλμα μοιάζει με πρόβλημα πιστοποιητικού, όχι με πρόβλημα ρολογιού

Η χειραψία TLS αποτυγχάνει όταν το πιστοποιητικό του άλλου μέρους βρίσκεται εκτός του παραθύρου εγκυρότητάς του σε σχέση με το ρολόι του επαληθευτή. Ο έλεγχος αυτός εκτελείται στον πελάτη, οπότε ένα λάθος ρολόι πελάτη απορρίπτει ένα απολύτως καλό πιστοποιητικό. Το κείμενο του σφάλματος ονομάζει το πιστοποιητικό, γι’ αυτό οι άνθρωποι το αντικαθιστούν και βλέπουν ξανά την ίδια αποτυχία. Το ρολόι είναι η φθηνότερη υπόθεση και πρέπει να δοκιμαστεί πρώτο.

Ένα ρολόι μπροστά από την πραγματική ώρα απορρίπτει ένα τρέχον πιστοποιητικό ως ληγμένο· ένα ρολόι πίσω απορρίπτει ένα νεότερο ως μη έγκυρο ακόμη. Και τα δύο μηνύματα δείχνουν ημερομηνίες, και τα δύο παράγονται χωρίς καμία επαφή με την αρχή έκδοσης πιστοποιητικών. Αυτό είναι το σημάδι: μια πραγματική λήξη επηρεάζει κάθε πελάτη, ενώ ένα πρόβλημα ρολογιού επηρεάζει το ένα μηχάνημα με τη λάθος ώρα.

Διαβάστε τη στιγμή και μετά το πιστοποιητικό

Εκτυπώστε το ρολόι σε UTC και τις δικές του ημερομηνίες του πιστοποιητικού πριν αλλάξετε οτιδήποτε. Η σύγκριση δύο απόλυτων στιγμών αφαιρεί εντελώς το ζήτημα της ζώνης ώρας από την έρευνα. Αν το παράθυρο του πιστοποιητικού περιέχει την τρέχουσα στιγμή, το πιστοποιητικό δεν είναι η αποτυχία σας.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Αν το τοπικό ρολόι είναι λάθος, ελέγξτε αν είναι συγχρονισμένο και με τι. Ένα μηχάνημα με απενεργοποιημένο συγχρονισμό, ή με πηγή ώρας που δεν μπορεί να φτάσει, αποκλίνει μέχρι να αποτύχει κάτι. Η έξοδος κατάστασης ονομάζει την πηγή και την τελευταία επιτυχή προσαρμογή, κάτι πιο χρήσιμο από την τρέχουσα απόκλιση μόνη της. Μεγάλη απόκλιση χωρίς ρυθμισμένη πηγή είναι διαφορετικό πρόβλημα από μικρή απόκλιση απέναντι σε πηγή που λειτουργεί.

timedatectl timesync-status
chronyc tracking

Σταματήστε αν το πιστοποιητικό έχει πραγματικά λήξει για κάθε πελάτη. Τότε το ρολόι είναι εντάξει και το πιστοποιητικό χρειάζεται ανανέωση, όχι προσαρμογή.

Οι κωδικοί σύνδεσης αποτυγχάνουν για σχετικό αλλά διαφορετικό λόγο

Οι κωδικοί μίας χρήσης βάσει χρόνου αντλούν την αξία τους από το τρέχον βήμα χρόνου, συνήθως τριάντα δευτερόλεπτα. Μια συσκευή της οποίας το ρολόι αποκλίνει περισσότερο από ένα ή δύο βήματα παράγει κωδικούς που ο διακομιστής δεν θα δεχτεί, ακόμη κι αν ο χρήστης πληκτρολόγησε τα σωστά ψηφία. Το σφάλμα μοιάζει με λάθος κωδικό πρόσβασης, κάτι που οδηγεί τους ανθρώπους σε βρόχο επαναφοράς που δεν μπορεί να διορθώσει ένα ρολόι.

Βρείτε ποιο συστατικό απέρριψε την προσπάθεια, γιατί ο πελάτης VPN, η πύλη και ο πάροχος ταυτότητας αναφέρουν διαφορετικά στάδια. Αν ο κωδικός απορρίπτεται αλλά ο κωδικός πρόσβασης γίνεται δεκτός, ο λογαριασμός είναι πιθανώς εντάξει και το ρολόι είναι ο ύποπτος. Αν απορρίπτονται και τα δύο, ο λογαριασμός μπορεί να είναι κλειδωμένος και το ρολόι είναι ψευδής ίχνος. Ακολουθήστε τις οδηγίες ανάκτησης του παρόχου αντί να εγκρίνετε αιτήματα που δεν ξεκινήσατε.

Μην πάτε το ρολόι πίσω για να δουλέψει ένας κωδικός. Κρύβει την αιτία και χαλάει τον επόμενο έλεγχο βάσει χρόνου.

Διορθώστε την πηγή, όχι την εμφανιζόμενη ώρα

Ο συγχρονισμός είναι υπηρεσία δικτύου και η σήραγγα μπορεί να αλλάξει αν η πηγή ώρας είναι προσβάσιμη. Μια εταιρική πηγή μπορεί να απαιτεί τη σήραγγα, ενώ μια δημόσια πηγή μπορεί να αποκλείεται από πολιτική. Η περιήγηση μπορεί να δουλεύει ενώ η δική της διαδρομή της υπηρεσίας ώρας αποτυγχάνει, γι’ αυτό αυτή η εξάρτηση περνά εύκολα απαρατήρητη. NTP είναι το πρωτόκολλο πίσω από την προσαρμογή και χρειάζεται τη δική του διαδρομή όπως κάθε άλλη υπηρεσία.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Υπάρχει επίσης πρόβλημα σειράς εκκίνησης: ένα πολύ λάθος ρολόι μπορεί να εμποδίσει μια πιστοποιημένη σήραγγα, και η μόνη χρησιμοποιήσιμη πηγή ώρας μπορεί να βρίσκεται πίσω από αυτή τη σήραγγα. Ένας διαχειριζόμενος στόλος χρειάζεται τεκμηριωμένη διαδικασία για αυτή την κατάσταση, και η παράκαμψη της επαλήθευσης πιστοποιητικού δεν είναι μία. Σε προσωπική συσκευή, χρησιμοποιήστε τους δικούς της ελέγχους ώρας του λειτουργικού συστήματος και βρείτε γιατί χάνεται το ρολόι μετά από τερματισμό ή επαναφορά. Ένα μηχάνημα που αποκλίνει σε κάθε εκκίνηση έχει πρόβλημα υλικού ή διαμόρφωσης, όχι πρόβλημα VPN.

Μετά την επισκευή, δοκιμάστε ξανά την αρχική σύνδεση και διαβάστε το νέο σφάλμα ξεχωριστά. Μια κακή ταυτότητα διακομιστή, ένα πιστοποιητικό που πραγματικά έληξε και ένας λογαριασμός που απορρίφθηκε είναι τρεις διαφορετικές αποτυχίες, και το να τις μπερδεύετε είναι ο τρόπος που μια απλή διόρθωση ρολογιού γίνεται εβδομάδα αλλαγών προφίλ.