Malĝusta horloĝo de aparato povas haltigi VPN: unue kontrolu la horon

La VPN ĉesas konekti, la protokolo mencias atestilon, kaj la unua instinkto estas anstataŭigi la profilon. Aparata horloĝo, kiu misas je minutoj aŭ horoj, produktas ĝuste tiun eraron, ĉar la valideco de atestilo estas juĝata laŭ la loka momento. La etikedo de la horzono sur la ekrano ne estas la problemo; la suba horo estas. Kontrolu la horloĝon antaŭ ol tuŝi ajnan atestilan materialon.

La eraro aspektas kiel atestila problemo, ne kiel horloĝa problemo

La TLS-manpremo malsukcesas, kiam la atestilo de la alia flanko falas ekster sian validecan fenestron rilate al la horloĝo de la kontrolanto. Tiu kontrolo rulas sur la kliento, do malĝusta klienta horloĝo rifuzas tute bonan atestilon. La erarteksto nomas la atestilon, kaj tial homoj anstataŭigas ĝin kaj revidas la saman fiaskon. La horloĝo estas la pli malmultekosta hipotezo kaj devus esti testita unue.

Horloĝo antaŭa al la reala horo rifuzas validan atestilon kiel eksvalidigitan; horloĝo malantaŭa rifuzas pli novan kiel ankoraŭ ne validan. Ambaŭ mesaĝoj montras datojn, kaj ambaŭ estiĝas sen ajna kontakto kun la atestila aŭtoritato. Tio estas la signo: vera eksvalidiĝo efikas al ĉiu kliento, dum horloĝa problemo efikas nur al la unu maŝino kun la malĝusta horo.

Legu la momenton, poste la atestilon

Presu la horloĝon en UTC kaj la proprajn datojn de la atestilo antaŭ ol ŝanĝi ion ajn. Kompari du absolutajn momentojn tute forigas la demandon pri horzono el la esploro. Se la fenestro de la atestilo enhavas la nunan momenton, la atestilo ne estas via fiasko.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Se la loka horloĝo misas, kontrolu ĉu ĝi estas sinkronigita kaj kun kio. Maŝino kun malŝaltita sinkronigado, aŭ kun hora fonto, kiun ĝi ne povas atingi, drivas ĝis io malsukcesas. La statusa eligo nomas la fonton kaj la lastan sukcesan ĝustigon, kio estas pli utila ol la nuna dekliniĝo sola. Granda dekliniĝo sen agordita fonto estas alia problemo ol malgranda dekliniĝo rilate al funkcianta fonto.

timedatectl timesync-status
chronyc tracking

Haltu, se la atestilo vere eksvalidiĝis por ĉiu kliento. Tiam la horloĝo estas en ordo kaj la atestilo bezonas renovigon, ne ĝustigon.

Ensalutaj kodoj malsukcesas pro rilata sed malsama kaŭzo

Temp-bazitaj unufojaj pasvortoj derivas sian valoron el la nuna tempopaŝo, kutime tridek sekundoj. Aparato, kies horloĝo misas je pli ol unu aŭ du paŝoj, produktas kodojn kiujn la servilo ne akceptos, eĉ se la uzanto tajpis la ĝustajn ciferojn. La eraro aspektas kiel malĝusta pasvorto, kio puŝas homojn en restarigan buklon, kiu ne povas ripari horloĝon.

Determinu, kiu komponento rifuzis la provon, ĉar la VPN-kliento, la enirejo kaj la identeca provizanto raportas malsamajn stadiojn. Se la kodo estas rifuzita sed la pasvorto akceptita, la konto verŝajne estas en ordo kaj la horloĝo estas la suspektato. Se ambaŭ estas rifuzitaj, la konto eble estas ŝlosita kaj la horloĝo estas falsa spuro. Sekvu la riparadajn instrukciojn de la provizanto anstataŭ aprobi petojn, kiujn vi ne iniciatis.

Ne returnu la horloĝon malantaŭen por igi kodon funkcii. Tio kaŝas la kaŭzon kaj rompas la sekvan temp-bazitan kontrolon.

Riparu la fonton, ne la montratan horon

Sinkronigado estas reta servo, kaj la tunelo povas ŝanĝi ĉu la hora fonto atingeblas. Korporacia fonto eble postulas la tunelon, dum publika fonto eble estas blokita de politiko. Retumado povas funkcii dum la propra vojo de la hora servo malsukcesas, kaj tial ĉi tiu dependeco facile mankas. NTP estas la protokolo malantaŭ la ĝustigo, kaj ĝi bezonas sian propran vojon kiel ĉiu alia servo.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Estas ankaŭ problemo de ekstarta ordo: tre malĝusta horloĝo povas malhelpi aŭtentigitan tunelon, kaj la sola uzebla hora fonto povas esti malantaŭ tiu tunelo. Administrata flanko bezonas dokumentitan proceduron por tiu stato, kaj preterpasi atestilan kontrolon ne estas tia. Sur persona aparato, uzu la proprajn horajn regilojn de la operaciumo kaj malkovru kial la horloĝo perdiĝas post malŝalto aŭ restarigo. Maŝino kiu drivas ĉe ĉiu ekstarto havas aparataran aŭ agordan problemon, ne VPN-problemon.

Post la riparo, reprovu la originalan konekton kaj legu la novan eraron aparte. Malbona servila identeco, atestilo kiu vere eksvalidiĝis kaj rifuzita konto estas tri malsamaj fiaskoj, kaj miksi ilin estas kiel simpla horloĝa ĝustigo fariĝas semajno da profilŝanĝoj.