Gailuaren erloju okerrak VPNa gelditu dezake: begiratu ordua lehenengo

VPNa konektatzeari uzten dio, erregistroak ziurtagiri bat aipatzen du, eta lehen bulkada profila aldatzea da. Minutu edo ordu batzuk oker dabilen gailu-erloju batek akats hori bera sortzen du, ziurtagiriaren baliozkotasuna uneko unearen aurka epaitzen delako. Pantailako ordu-zonaren etiketak ez du zerikusirik arazoarekin; azpiko orduak du. Begiratu erlojua ziurtagiri-materialik ukitu aurretik.

Akatsa ziurtagiri-arazoa dirudi, ez erloju-arazoa

TLS esku-keinuak huts egiten du beste alderdiaren ziurtagiria egiaztatzailearen erlojuarekiko baliozkotasun-leihotik kanpo geratzen denean. Egiaztapen hori bezeroan exekutatzen da, beraz bezero-erloju oker batek ziurtagiri guztiz ona baztertzen du. Akatsaren testuak ziurtagiria aipatzen du, eta horregatik jendeak hura aldatzen du eta huts berbera ikusten du berriro. Erlojua hipotesi merkeena da eta lehenengo probatu behar da.

Denbora erreala baino aurreratuago dagoen erloju batek uneko ziurtagiria iraungitzat baztertzen du; atzeratuago dagoen erloju batek berriagoa oraindik baliozkoa ez bezala baztertzen du. Bi mezuek datetara seinalatzen dute, eta biak ziurtagiri-agintaritzarekin inolako harremanik gabe sortzen dira. Hori da arrastoa: iraungitze erreala bezero guztiei eragiten die, eta erloju-arazoak ordu okerra duen makina bakarrari.

Irakurri unea, gero ziurtagiria

Inprimatu erlojua UTCn eta ziurtagiriaren beraren datak ezer aldatu aurretik. Bi une absolutuk alderatzeak ordu-zonaren galdera erabat kentzen du ikerketatik. Ziurtagiriaren leihoak uneko unea badauka, ziurtagiria ez da zure hutsegitea.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Tokiko erlojua oker badago, egiaztatu sinkronizatuta dagoen eta zerekin. Sinkronizazioa itzalita duen edo iristeko modurik ez duen ordu-iturria duen makinak norabide okerrean egiten du harik eta zerbait huts egiten duen arte. Egoeraren irteerak iturria eta azken doitze arrakastatsua aipatzen ditu, oraingo desbideratzeak bakarrik baino erabilgarriagoa dena. Iturririk konfiguratu gabe desbideratze handia arazo desberdina da funtzionatzen duen iturriarekiko desbideratze txikiarena baino.

timedatectl timesync-status
chronyc tracking

Gelditu ziurtagiria bezero guztientzat benetan iraungi bada. Orduan erlojua ondo dago eta ziurtagiriak berritzea behar du, ez doitzea.

Saio-hasierako kodeek huts egiten dute arrazoi erlazionatu baina desberdinagatik

Denboran oinarritutako erabilera bakarreko pasahitzek uneko denbora-urratsetik ateratzen dute beren balioa, normalean hogeita hamar segundo. Urrats bat edo bi baino gehiago oker dabilen erlojua duen gailuak zerbitzariak onartuko ez dituen kodeak sortzen ditu, erabiltzaileak digitu zuzenak idatzi baditu ere. Akatsak pasahitz okerra dirudi, eta horrek jendea erlojua konpondu ezin duen berrezartze-begizta batera bultzatzen du.

Argitu zein osagaik baztertu zuen saiakera, VPN bezeroak, atebideak eta identitate-hornitzaileak etapa desberdinak ematen baitituzte. Kodea baztertzen bada baina pasahitza onartzen bada, kontua seguruenik ondo dago eta erlojua da susmagarria. Biak baztertzen badira, kontua blokeatuta egon daiteke eta erlojua arrasto faltsua da. Jarraitu hornitzailearen berreskuratze-jarraibideak, ez hasi ez dituzun eskaerak onartzen.

Ez atzeratu erlojua kode bat funtziona dezan. Arrazoia ezkutatzen du eta hurrengo denboran oinarritutako egiaztapena hausten du.

Konpondu iturria, ez erakutsitako ordua

Sinkronizazioa sare-zerbitzua da, eta tunelak alda dezake ordu-iturria irisgarria den. Enpresa-iturri batek tunela behar lezake, eta iturri publiko bat politikan blokeatuta egon daiteke. Nabigazioak funtziona dezake ordu-zerbitzuaren beraren bideak huts egiten duen bitartean, eta horregatik erraza da menpekotasun hori ez nabaritzea. NTP doitzearen atzean dagoen protokoloa da, eta berariazko bidea behar du beste edozein zerbitzuk bezala.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Abio-ordena arazoa ere badago: erloju oso oker batek tunel autentifikatua eragotzi dezake, eta erabilgarri dagoen ordu-iturri bakarra tunel horren atzean egon daiteke. Kudeatutako flota batek egoera horretarako dokumentatutako prozedura behar du, eta ziurtagiriaren egiaztapena saihestea ez da horrelakoa. Gailu pertsonalean, erabili sistema eragilearen ordu-kontrolak eta jakin zergatik galtzen den erlojua itzali edo leheneratu ondoren. Abio bakoitzean desbideratzen den makinak hardware edo konfigurazio arazoa du, ez VPN arazoa.

Konpondu ondoren, saiatu berriro jatorrizko konexioa eta irakurri akats berria bereizita. Zerbitzari-identitate txarra, benetan iraungi den ziurtagiri bat eta baztertutako kontu bat hiru hutsegite desberdin dira, eta haiek nahastea da erloju-doitze soil bat profilez aldatze-aste bihurtzen duen modua.