Ziurtagiriaren izena bat ez etortzea edo iraungitzea: nola bereizi

VPN hutsegite bi berdin ikusten dira erabiltzailearen aulkitik eta aurkako konponketak behar dituzte. Izenaren desadostasunak ziurtagiria baliozkoa dela baina beste zerbaitetarako jaulkitakoa dela esaten du. Iraungitze erroreak ziurtagiria une honetan baliozkoa ez dela esaten du. Bat ere ez da pasahitz arazoa, eta kredentzialak berrezartzea da bi kasuetan galdu ohi den ordua. Ukitu ezer baino lehen irakurri huts egiten duen etapa.

Errore testua da diagnostikoa

Bezeroak zein egiaztapenek huts egin zuen esaten dizu, mezua laburra denean ere. Desadostasunak espero zuen ostalari izena eta aurkitu zuen izena aipatzen ditu. Iraungitze erroreak baliozkotasun datak edo ordu bat aipatzen ditu. Bi esaldi horiek ziurtagiriaren zati desberdinak seinalatzen dituzte.

Irakurri itzazu agertzen diren etapan. Esku-ukitzean huts egitea ziurtagiri arazoa da; tunela altxatu ondoren huts egitea bideratze edo kredentzial arazoa da. Etapa gordetzeak eragozten du ikerketa erlazionik gabeko ezarpenetara aldatzea.

Hutsegitea saiakeren artean aldatzen bada, hirugarren aukera duzu: izen beraren atzean nodo bat baino gehiago.

Izen egiaztapenak: zer konparatzen du bezeroak

Bezeroak espero izateko konfiguratuta zegoen identitatea konparatzen du ziurtagiriko izenekin, eta horiek subjectAltName luzapenean bizi dira. Profilan IP gordina, ziurtagiriak zerrendatzen ez duen alias bat edo zerbitzari berera soilik ebazten den izen bat, denek huts egiten dute egiaztapen honetan. Makina zuzena heltzea ez da identitate zuzena aurkeztea.

Aztertu zerbitzariak benetan aurkezten duen ziurtagiria, lehenagoko saiakera bateko fitxategia beharrean. Beheko komandoak konfiguratu duzun izena eskatzen du, beraz erantzunak benetako bezero batek ikusiko lukeen ziurtagiria barne hartzen du.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Konfiantzazko jaulkitzaile baten ziurtagiria beste zerbitzu baterako izan daiteke oraindik. Mantendu bezeroaren izen egiaztapenak gaituta, CA batengan konfiantza izateak ez baititu baimetzen CA horrek inoiz sinatutako izen guztiak. Egiaztapena desgaitzeak konfigurazio errore bat esposizio bihurtzen du.

Iraungitzea: zein erloju irakurtzen ari da

Baliozkotasuna denbora-zigilu pare bat da, eta egiaztatzaileak bere erlojuarekin konparatzen ditu. Erloju okerra duen gailu batek ziurtagiri baliozkoa iraungita edo oraindik baliozkoa ez bezala jakinarazten du, eta konponketa erlojua da, ez ziurtagiria. Ordu-eremuaren bistaratze desberdintasuna ez da azpiko ordu okerra bezalakoa.

Konparatu ziurtagiriaren datak UTCrekin bezeroan, ezer ondorioztatu aurretik:

openssl x509 -in cert.pem -noout -dates
date -u

Datak benetan igaro badira, berritu jaulkitzailearen bidez. Ordezkapen bat badago baina oraindik baliozko bihurtu ez bada, jarraitu onartutako trantsizioa, erlojua mugitu beharrean hura egokitzeko. Gailu baten data atzera eramatea ziurtagiri bat asetzeko tunelaz haraindiko ondorioak dituen erabakia da.

Zergatik uzten duen batek bestea agerian

Baliozkotzeak egiaztapen segida bat exekutatzen du, eta lehen hutsegiteak txostena gelditzen du. Konpondu izena eta orduan bezeroak esan ahal dizu katea osatugabea dela edo ziurtagiria iraungi dela. Horrek ez du esan nahi lehen egiaztapena beharrezkoa ez zenik. Kateak arazo bat baino gehiago zituela esan nahi du, beraz espero ezazu bigarren errorea, lehen konponketa okerra zela frogatzat irakurri beharrean.

Nodo anitzek okerrera egiten dute. Karga orekatutako zerbitzu batek kide desberdinen ziurtagiri desberdinak aurkez ditzake, beraz bi aldiz pasatzen eta behin huts egiten duen proba batek flotari buruz hitz egiten dizu, ez zure bezeroari buruz. Mantendu parearen helbidea eta saiakera ordua diagnostikoan.

Detaile hori da tiket ezegonkor bat errepikagarri bihurtzen duena.

Frogatu konexio berri batekin

Konponketaren ondoren, ireki konexio berri bat zaharra berritu beharrean, eta egiaztatu lehen huts egiten zuen etapa orain pasatzen dela. Gero egiaztatu tunelak benetan trafikoa daramala, esku-ukitze arrakastatsua ez baita ibilbide funtzionala.

Gorde errore etapa zehatza eta ziurtagiriaren xehetasunak tiketarekin.

Erregistro horrek eragozten dio hurrengo pertsonari kontu pasahitzak berrezartzea ziurtagiri arazo batengatik. Identitatea eta baliozkotasuna galdera bereiziak dira, eta RFC 5280 bigarrena nola ebaluatzen den azaltzeko erreferentzia da.