Sertifikaadi nime mittevastavus või aegumine: kuidas neid eristada

Kaks VPN-tõrget näevad kasutaja toolilt ühesugused välja ja nõuavad vastupidiseid parandusi. Nime mittevastavus ütleb, et sertifikaat kehtib, aga on välja antud millekski muuks. Aegumisviga ütleb, et sertifikaat ei kehti praegusel hetkel. Kumbki ei ole parooliprobleem, ja mandaatide lähtestamine on mõlemal juhul kõige raisatum tund. Lugege nurjuvat etappi enne, kui midagi puudutate.

Veateade on diagnoos

Klient ütleb teile, milline kontroll nurjus, isegi kui sõnum on napisõnaline. Mittevastavus nimetab hostinime, mida oodati, ja nime, mis leiti. Aegumisviga mainib kehtivuskuupäevi või kellaaega. Need kaks lauset osutavad sertifikaadi erinevatele osadele.

Lugege neid etapis, kus need ilmuvad. Tõrge kätlemise ajal on sertifikaadiprobleem; tõrge pärast tunneli püstitamist on marsruutimise või mandaadi probleem. Etapi säilitamine hoiab ära uurimise triivimise seostamata seadetesse.

Kui tõrge kordub katsete vahel erinevalt, on teil kolmas võimalus: rohkem kui üks sõlm sama nime taga.

Nimekontrollid: mida klient võrdleb

Klient võrdleb identiteeti, mida ta oli seadistatud ootama, sertifikaadis olevate nimedega, mis asuvad subjectAltName-laiendis. Too IP profiilis, alias, mida sertifikaat ei loetle, või nimi, mis lihtsalt lahendub samale serverile, kõik ebaõnnestuvad selles kontrollis. Õigesse masinasse jõudmine ei ole sama kui õige identiteedi esitamine.

Uurige sertifikaati, mida server tegelikult esitab, mitte varasemast katsest pärinevat faili. Allolev käsk küsib nime, mille seadistasite, seega sisaldab vastus sertifikaati, mida tõeline klient näeks.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Usaldusväärse väljaandja sertifikaat võib ikkagi olla mõne teise teenuse jaoks. Hoidke kliendi nimekontrollid sisse lülitatud, sest CA usaldamine ei anna õigust igale nimele, mille see CA kunagi allkirjastas. Kontrolli väljalülitamine muudab konfiguratsioonivea paljastuseks.

Aegumine: kelle kella loetakse

Kehtivus on ajatemplite paar ja kontrollija võrdleb neid oma kellaga. Vale kellaga seade teatab kehtiva sertifikaadi aegununa või veel mitte kehtivana ning parandus on kell, mitte sertifikaat. Ajavööndi kuvamise erinevus ei ole sama kui vale aluskellaaeg.

Võrrelge sertifikaadi kuupäevi kliendis UTC-ga enne, kui midagi järeldate:

openssl x509 -in cert.pem -noout -dates
date -u

Kui kuupäevad on tõesti möödunud, uuendage väljaandja kaudu. Kui asendus on olemas, aga ei ole veel kehtivaks muutunud, järgige toetatud üleminekut, selle asemel et kella nihutada, et sellega kohaneda. Seadme kuupäeva tagasiulatuvalt muutmine sertifikaadi rahuldamiseks on otsus, mille tagajärjed ulatuvad tunnelist kaugele.

Miks ühe parandamine paljastab teise

Valideerimine käivitab kontrollide jada ja esimene tõrge peatab aruande. Parandage nimi ja klient võib seejärel teile öelda, et ahel on puudulik või et sertifikaat on aegunud. See ei tähenda, et esimene kontroll oli tarbetu. See tähendab, et ahelal oli rohkem kui üks probleem, seega oodake teist viga, selle asemel et lugeda seda tõendiks, et esimene parandus oli vale.

Mitmed sõlmed teevad selle hullemaks. Koormust tasakaalustav teenus võib esitada erinevaid sertifikaate erinevatelt liikmetelt, seega test, mis läbib kaks korda ja nurjub korra, räägib teile parvest, mitte teie kliendist. Hoidke diagnoosis partneri aadress ja katse aeg.

See detail muudab kõikuva pileti korratavaks.

Tõestage seda värske ühendusega

Pärast parandust avage uus ühendus, selle asemel et vana jätkata, ja kinnitage, et etapp, mis varem nurjus, nüüd läbib. Seejärel kinnitage, et tunnel tõesti kannab liiklust, sest edukas kätlemine ei ole toimiv marsruut.

Säilitage täpne veaetapp ja sertifikaadi üksikasjad pileti juures.

Just see kirje takistab järgmisel inimesel sertifikaadiprobleemi tõttu kontode paroole lähtestamast. Identiteet ja kehtivus on eraldi küsimused ning RFC 5280 on viide selle kohta, kuidas teist hinnatakse.