Malvalidigo de atestiloj malsukcesas: kiu gastiganto ne atingas kion

Atestiloj povas resti ene de sia valideca periodo dum la VPN ankoraŭ raportas aŭtentikigan malsukceson, kaj iu konkludas, ke la atestilo estas malvalidigita. Tio estas tri malsamaj faktoj. Malvalidigajn datumojn devas elŝuti la aparato, kiu faras la validigon, el publikiga finpunkto nomita ene de la atestilo mem. Kiam tiu aparato ne povas atingi la finpunkton, la kontrolo malsukcesas pro kialoj tute ne rilataj al la stato de la atestilo.

La validiganto posedas la elŝutan vojon

Komencu identigante la validiganton. Kiam tekokomputilo kontrolas la atestilon de la enirejo, la tekokomputilo faras la elŝuton; kiam la enirejo kontrolas klientan atestilon, ĝin faras la enirejo. Aŭtentikiga servo en la fono povas aldoni trian validiganton kun propra reta pozicio. Ĉiu havas alian vojon al la interreto kaj alian prokuran agordon. Pruvoj kolektitaj sur la laborstacio de administranto diras nenion pri servilo ene de DMZ.

Notu la atestilon, la validiganton, la tempon de la provo kaj la precizan statusan kodon antaŭ ol ŝanĝi ion ajn.

Legu la publikigan punkton el la atestilo

La atestilo nomas, kie loĝas ĝia stato. Legu tiujn kampojn anstataŭ diveni CA-adreson.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

La unua etendaĵo listigas CRL-distribuajn punktojn, kaj la dua listigas alirojn al aŭtoritataj informoj, kiuj povas kovri OCSP-staton kaj elŝuton de la atestilo de la eldoninto. Tiuj estas malsamaj mekanismoj, kaj OCSP-respondilo ne estas CRL-dosiero. La publikiga gastiganto ofte estas ordinara retservilo kaj ne la CA-maŝino, ĉar senreta eldoninto povas subskribi CRL, kiun distribuas alia servilo. Tial fajroŝirma regulo priskribita kiel aliro al la CA estas tro malpreciza por esti efektivigita aŭ reviziita.

Testu elŝuton el la aparato, kiu validigas

Rulu la elŝutan teston en la medio, kiu efektive faras la validigon, kun aprobita atestila materialo kaj sen privataj ŝlosiloj.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

La rulo de certutil kontrolas la ĉenon kaj raportas, kiuj URL-elŝutoj sukcesis aŭ malsukcesis, dum la voko de curl testas unu publikigan adreson el la sama gastiganto kaj redonas nur statusan kodon. Malsukcesa elŝuto el atingebla adreso montras al problemoj de enhavo aŭ subskribo; konekta eraro montras al enkursigado, DNS aŭ prokuro. Konservu ambaŭ rezultojn, ĉar unu sukcesa elŝuto ne pruvas, ke la tuta ĉeno estas uzebla. Ŝanĝu la ekzemplan gastiganton kaj vojon al la distribua punkto trovita en la atestilo.

Apartigu mankantajn datumojn de malvalidiga stato

Kvar rezultoj aspektas same de ekstere: la finpunkto estas neatingebla, la listo estas malnova, la listo estas subskribita de malĝusta eldoninto, aŭ la atestilo estas vere malvalidigita. Nur la lasta estas stata rezulto, kaj nur ĝi pravigas forigon de aliro. Kaŝmemoro plikomplikigas la bildon, ĉar antaŭe elŝutitaj datumoj povas kaŝi rompitan publikigan vojon ĝis la sekva refreŝigo. Malŝalti la malvalidigan kontrolon, forigi nerilatajn atestilojn aŭ restarti la enirejon ĉiuj anstataŭigas diagnozon per agado.

Post la korekto, devigu novan aŭtentikigon kaj konfirmu, ke la celita stata elŝuto sukcesas. Kie ekzistas kontrolita testa identeco, konfirmu, ke ĝi ankoraŭ estas rifuzata, ĉar disponebleco, kiu forigas la kontrolon, ne estas riparo.