VPN ziurtagiria oraindik ez da baliozkoa: hiru arrazoi, egiaztapen-ordena bat
Oraindik baliozkoa ez izateak esan nahi du gailuaren erlojua atzeratuta dagoela, leihoa benetan geroago hasten dela edo bitarteko ziurtagiri bat oraindik ez dela ireki. Egiaztatu itzazu ordena horretan.
Bezeroa irekitzen duzu, hilabeteak daramatzazun profila hautatzen duzu eta "certificate is not yet valid" mezuarekin gelditzen da. Zure saio-hasieran ezer ez da aldatu eta konfiantza-biltegia ziurrenik ondo dago: eskuko-ematean aurkeztutako ziurtagiriak baliozkotasun-leiho bat darama, egiaztatzaileak erabiltzen duen unea baino geroago hasten dena. Hiru egoera desberdinek sortzen dute mezu zehatz hori, eta ekintza desberdinak eskatzen dituzte. Beheko ordenak esango dizu zein duzun erloju edo ziurtagiri-fitxategi bat ukitu aurretik.
Hiru arrazoietatik zein ikusten ari zaren
Lehen arrazoia lokala da: egiaztapena egiten duen gailuak ziurtagiriaren hasiera-data baino lehenagoko erlojua du. CMOS bateria hilduta duen hardwarean ikusten duzu, snapshot zahar batetik leheneratutako makina birtualetan, denbora galtzeko adina itzalita egon diren gailuetan, eta irteerako NTP blokeatuta dagoen eta inork ohartu ez den sareetan. Ziurtagiria erabat baliozkoa izan daiteke eta hala ere horrela huts egin.
Bigarren arrazoia igorlearena da, ziurtagiria benetan etorkizunean hasten delako: goiz jaulkitakoa, hasiera-ordu esplizituarekin sortua edo oraindik exekutatu ez den aktibazio-urrats baten parte gisa sinatua. Hirugarren arrazoiak denbora gehien galtzen du, hostoa indarrean dagoelako aurkeztutako kateko beste ziurtagiri bat ez dagoen bitartean, beraz erroreak inoiz instalatu ez duzun materiala izendatzen du.
Galdera batek bereizten ditu. Hutsegiteak gailua edo zerbitzua jarraitzen du? Sare berean modu desberdinean jokatzen duten bi makinak erlojuetara bideratzen dute. Bezero guztiek modu berean huts egiten badute, ziurtagiriaren leihoa eta haren atzeko katea seinalatzen ditu.
Irakurri leihoa benetan aurkeztu zen ziurtagiritik
Ez ikuskatu aurreko inplementazio batetik geratutako PEM fitxategirik; eskatu zerbitzuari orain bidaltzen duen katea. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts kateko ziurtagiri bakoitza inprimatzen du. Gorde interesatzen zaizun blokea eta exekutatu openssl x509 -noout -subject -issuer -dates; azkenak notBefore eta notAfter inprimatzen ditu, eta bi balio horiek erabakitzen dute. Windowsen, konexioaren ziurtagiri-elkarrizketak eta esportatutako fitxategi bateko certutil -dump eremu berberak erakusten dituzte.
Irakurri leihoaren bi muturrak, ez soilik hasiera. Bi ordutan irekitzen den ziurtagiri batek eta bi ordutan ixten denak mezu desberdinekin huts egiten dute eta talde desberdinak ukitzen dituzte. Ohartu erroreak zein ziurtagiri izendatzen duen — hostoa, bitartekoa edo erroa —, horrek erabakitzen baitu bezeroaren aldean ezer konpon daitekeen.
Leihoa itxaron gabe ere proba dezakezu. Egiaztapenak denbora esplizitua onartzen du: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem katea denbora-marka horretan ebaluatzen du. Exekutatu uneko denborarekin hutsegitea erreproduzitzeko, eta gero ziurtagiriaren hasiera-denborarekin leihoa irekitzean kate berak pasatzen duela baieztatzeko. RFC 5280 arauak baliozkotasun-eremua eta ziurtagiria haren kanpoan erabili behar ez den araua definitzen ditu, eta hori da zure bezeroak oraintxe aplikatu duen araua.
Zure erlojua edo berena
Konparatu gailuaren erlojua ziurtagiriaren hasierarekin UTCn, konfiantzazko iturri batetik. date -u unea ematen du, eta timedatectl status systemd ostalari batean erlojua sinkronizatuta dagoen ere jakinarazten du. Windowsen, w32tm /query /status uneko iturria eta azken sinkronizazio arrakastatsua erakusten ditu. Erretiluan erakutsitako ordu-zona bistaratzeko aukera da, ez erloju okerra; egiaztatzaileak UTC uneak konparatzen ditu.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
Erlojua atzeratuta badago, berriro sinkronizatu eta probatu berriro ziurtagiri-materiala aldatu aurretik. Minutu edo ordu batzuetan oker dabilen gailuak aurkitzen duen azkenaldian jaulkitako ziurtagiri guztiak baztertzen ditu, ez zerbitzu bat soilik, beraz zerbitzu bakarreko azalpena okerra izaten da normalean. Erlojua zuzena eta sinkronizatuta badago, utzi gailuari begiratzeari: leihoa igorlearena da, eta ez litzateke tokiko ezarpenik egokitu behar pasa dadin.
Taula hori da erabaki osoa. Erlojua ziurtagiriak espero duenera mugitzea ez da konponketa, eta denbora-egiaztapenak desaktibatzea ere ez da, biak ala biak errorea sortu zuen baldintza ezkutatzen baitute.
Zergatik huts egiten du kateak hostoa ondo dagoela dirudienean
Hostoa berrituak eta ordezko bitarteko ziurtagiriak elkarrekin bidaltzen dira normalean, eta ez dira beti une berean iristen. Zerbitzu batek bere leihoa geroago hasten duen bitarteko batek sinatutako hosto berri bat bidal dezake, edo bitarteko zaharrago bat hosto berri baten azpian zerbitzatzen jarrai dezake. Edonola ere, kateak huts egiten du hostoaren datak berak zentzuzkoak diruditen bitartean.
Karga-orekatutako amaierako puntuek hau apurtutik koherentziarik gabera aldatzen dute. Berriro saiatzeak arrakasta badu, edo sare batek funtzionatzen badu eta besteak ez, idatzi zein parek erantzun zuen eta zein kate bidali zuen ezarpenak aldatu aurretik. openssl s_client konektatutako helbidea inprimatzen du, beraz saiakera batzuek agerian uzten dute nodo bakoitzak kate bera zerbitzatzen duen.
Egiaztapena osorik mantentzen duten konponbide-bideak
Erloju-arazoa gailuan konpontzen da egiaztapena aktibatuta utzita. Ziurtagiri-arazoa operadoreak konpontzen du jada oraina barne hartzen duen leiho baterako jaulkitako materialarekin. Bezeroaren ezarpen batek ere ez du oraindik baliozkoa ez den ziurtagiri bat baliozko bihurtzen; denbora-egiaztapenak saltatzen dituzten banderak diagnostiko bat baieztatzeko daude, ez produkziora bidaltzeko.
Ziurtagiria aurreikusitako aktibaziorako prestatuta dagoenean, jarraitu trantsizio-planean. Instalatu haren leihoa irekitzen denean, edo erabili hornitzaileak dokumentatzen duen gainjartze-prozedura, goizegi instalatu eta erabiltzaileei abisuak klikatzen irakatsi beharrean. Jendeak baztertzen ikasten duen abisuek atzerapen labur batek baino gehiago balio dute.
Azkenik, probatu berriro hutsegitea gertatu zen moduan: saio berria, bezero bera, benetan behar duzun baliabidea. TLS liburutegiek egiaztatutako katea konexio baten bizitza osoan gorde dezakete cachean, eta berreskuratutako saio batek ez du nahitaez berriro egiaztatzen, beraz saio zahar batek huts egiten jarrai dezake konponketaren ondoren edo funtzionatzen jarrai dezake erregresio baten ondoren. Ikustaile batean irekitzen den fitxategi batek fitxategia irakurgarria dela baino ez du frogatzen; osatutako eskuko-emate batek katea baliozkotzen dela frogatzen du.
Tiketa itxi aurretik, baieztatu lau gauza: huts egiten duen gailuaren UTC ordua eta sinkronizazio-egoera, aurkeztutako kateko ziurtagiri bakoitzaren notBefore eta notAfter, kate bera bigarren bezero batetik eta erroreak ziurtagiriari ematen dion izena. Erlojua zuzena bada eta leihoa ez bada ireki, gainerakoa operadorearen lana da, eta zure aldetik urrats egokia leihoaren zain egotea da, egiaztapena ahuldu beharrean.