Vale seadme kell võib VPN-i peatada: kontrollige esmalt aega

VPN lakkab ühendamast, logi mainib sertifikaati ja esimene instinkt on profiil välja vahetada. Seadme kell, mis on minutite või tundide võrra vale, tekitab täpselt selle vea, sest sertifikaadi kehtivust hinnatakse kohaliku hetke järgi. Ajavööndi silt ekraanil ei ole probleem; probleem on aeg ise. Kontrollige kella enne, kui puudutate ükskõik millist sertifikaadi materjali.

Viga näeb välja nagu sertifikaadi probleem, mitte kella probleem

TLS-i kätlemine ebaõnnestub, kui teise poole sertifikaat jääb valideerija kella suhtes väljapoole oma kehtivusakent. See kontroll töötab kliendis, seega vale kliendi kell lükkab tagasi täiesti korraliku sertifikaadi. Veatekst nimetab sertifikaati ja seetõttu inimesed vahetavad selle välja ning näevad sama tõrget uuesti. Kell on odavam hüpotees ja seda tuleks esimesena testida.

Reaalsest ajast ees olev kell lükkab kehtiva sertifikaadi tagasi aegununa; taga olev kell lükkab uuema tagasi veel kehtimatuna. Mõlemad teated osutavad kuupäevadele ja mõlemad tekivad ilma igasuguse kontaktita sertifitseerimisasutusega. See ongi vihje: tõeline aegumine mõjutab iga klienti, kella probleem aga ainult seda ühte masinat, mille aeg on vale.

Lugege hetke, siis sertifikaati

Printige kell UTC-s ja sertifikaadi enda kuupäevad enne, kui midagi muudate. Kahe absoluutse hetke võrdlemine eemaldab ajavööndi küsimuse uurimisest täielikult. Kui sertifikaadi aken sisaldab praegust hetke, ei ole sertifikaat teie tõrge.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Kui kohalik kell on vale, kontrollige, kas see on sünkroonitud ja millega. Masin, mille sünkroonimine on välja lülitatud või mille ajaserverit ta ei saa kätte, triivib seni, kuni midagi ebaõnnestub. Olekutrükk nimetab allika ja viimase õnnestunud korrigeerimise, mis on kasulikum kui praegune hälve üksi. Suur hälve ilma seadistatud allikata on teine probleem kui väike hälve töötava allika suhtes.

timedatectl timesync-status
chronyc tracking

Peatuge, kui sertifikaat on tõesti kõigi klientide jaoks aegunud. Siis on kell korras ja sertifikaat vajab uuendamist, mitte kohandamist.

Sisselogimiskoodid ebaõnnestuvad seotud, kuid teistsugusel põhjusel

Ajal põhinevad ühekordsed paroolid tuletavad oma väärtuse praegusest ajasammust, tavaliselt kolmkümmend sekundit. Seade, mille kell on rohkem kui samm või kaks vale, toodab koode, mida server ei võta vastu, isegi kui kasutaja sisestas õiged numbrid. Viga näeb välja nagu vale parool, mis saadab inimesed lähtestamise tsüklisse, mis ei suuda kella parandada.

Tehke kindlaks, milline komponent katse tagasi lükkas, sest VPN-klient, lüüs ja identiteedipakkuja teatavad eri etappidest. Kui kood lükatakse tagasi, aga parool võetakse vastu, on konto tõenäoliselt korras ja kahtlusalune on kell. Kui mõlemad lükatakse tagasi, võib konto olla lukustatud ja kell on vale jälg. Järgige pakkuja taastamisjuhiseid, selle asemel et kinnitada taotlusi, mida te ei algatanud.

Ärge keerake kella tagasi, et kood töötaks. See peidab põhjuse ja rikub järgmise ajal põhineva kontrolli.

Parandage allikas, mitte kuvatav tund

Sünkroonimine on võrguteenus ja tunnel võib muuta, kas ajaserver on kättesaadav. Ettevõtte allikas võib nõuda tunnelit, samas kui avalik allikas võib olla poliitikaga blokeeritud. Veebilehitsemine võib töötada, samal ajal kui ajateenuse enda tee ebaõnnestub, mistõttu on seda sõltuvust lihtne märkamata jätta. NTP on korrigeerimise taga olev protokoll ja see vajab omaenda teed nagu iga teine teenus.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

On ka alglaadimise järjekorra probleem: väga vale kell võib takistada autenditud tunnelit ja ainus kasutatav ajaserver võib asuda selle tunneli taga. Hallatud laevastik vajab selle oleku jaoks dokumenteeritud protseduuri ja sertifikaadi kontrollimisest möödaminek ei ole see. Isiklikus seadmes kasutage operatsioonisüsteemi enda ajajuhtimist ja tehke kindlaks, miks kell kaob pärast väljalülitamist või taastamist. Masin, mis triivib igal käivitusel, on riistvara või konfiguratsiooni probleem, mitte VPN-i probleem.

Pärast parandust proovige uuesti algset ühendust ja lugege uut viga eraldi. Halb serveri identiteet, tõesti aegunud sertifikaat ja tagasi lükatud konto on kolm erinevat tõrget ning nende segamine on see, kuidas lihtsast kellakorrektsioonist saab nädal profiilivahetusi.