عدم تطابق نام گواهی یا انقضا: چگونه آن دو را از هم تشخیص دهیم

دو خرابی VPN از جای کاربر یکسان به نظر میرسند و اصلاحهای متضاد میخواهند. عدم تطابق نام میگوید گواهی معتبر است اما برای چیز دیگری صادر شده. خطای انقضا میگوید گواهی در این لحظه معتبر نیست. هیچکدام مشکل گذرواژه نیست، و بازنشانی اطلاعات ورودی در هر دو مورد بیشترین ساعت تلفشده است. مرحلهای را که شکست میخورد بخوانید، پیش از آنکه چیزی را لمس کنید.

متن خطا همان تشخیص است

کارخواه به شما میگوید کدام بررسی شکست خورده، حتی وقتی پیام کوتاه است. عدم تطابق نام میزبان مورد انتظار و نامی را که یافته نام میبرد. خطای انقضا تاریخهای اعتبار یا یک زمان را ذکر میکند. این دو جمله به بخشهای متفاوتی از گواهی اشاره دارند.

آنها را در همان مرحلهای بخوانید که ظاهر میشوند. شکست در هنگام دستدهی مشکل گواهی است؛ شکست پس از برپا شدن تونل مشکل مسیریابی یا اطلاعات ورودی است. نگهداشتن مرحله همان چیزی است که مانع میشود بررسی به تنظیمات نامرتبط منحرف شود.

اگر شکست میان تلاشها متفاوت است، احتمال سومی دارید: بیش از یک گره پشت همان نام.

بررسیهای نام: کارخواه چه چیزی را مقایسه میکند

کارخواه هویتی را که برای انتظارش پیکربندی شده بود با نامهای درون گواهی مقایسه میکند، نامهایی که در افزونه subjectAltName زندگی میکنند. نشانی IP خام در نیمرخ، نام مستعاری که گواهی فهرست نمیکند، یا نامی که تنها به همان سرور تفکیک میشود، همه در این بررسی شکست میخورند. رسیدن به ماشین درست همانند ارائه هویت درست نیست.

گواهیای را بررسی کنید که سرور واقعاً ارائه میدهد، نه پروندهای از تلاش پیشین. فرمان زیر نامی را میپرسد که پیکربندی کردهاید، پس پاسخ شامل گواهیای است که کارخواه واقعی میدید.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

گواهی از صادرکنندهای مورد اعتماد باز هم میتواند برای سرویس دیگری باشد. بررسیهای نام کارخواه را فعال نگه دارید، زیرا اعتماد به یک CA مجوز همه نامهایی نیست که آن CA هرگز امضا کرده است. خاموش کردن بررسی، خطای پیکربندی را به افشا بدل میکند.

انقضا: ساعت چه کسی خوانده میشود

اعتبار جفتی از برچسبهای زمانی است و تأییدکننده آنها را با ساعت خودش مقایسه میکند. دستگاهی که ساعتش اشتباه است گواهی معتبر را منقضی یا هنوز معتبر ندانسته گزارش میکند، و اصلاح همان ساعت است نه گواهی. تفاوت نمایش منطقه زمانی همانند زمان پایه اشتباه نیست.

تاریخهای گواهی را روی کارخواه با UTC مقایسه کنید پیش از آنکه نتیجهای بگیرید:

openssl x509 -in cert.pem -noout -dates
date -u

اگر تاریخها واقعاً گذشتهاند، از طریق صادرکننده تمدید کنید. اگر جایگزینی وجود دارد اما هنوز معتبر نشده، انتقال پشتیبانیشده را دنبال کنید نه اینکه ساعت را برای سازگاری با آن جابهجا کنید. عقب بردن تاریخ دستگاه برای راضی کردن گواهی تصمیمی با پیامدهای بسیار فراتر از تونل است.

چرا اصلاح یکی دیگری را آشکار میکند

اعتبارسنجی زنجیرهای از بررسیها را اجرا میکند و نخستین شکست گزارش را متوقف میکند. نام را اصلاح کنید، آنگاه کارخواه ممکن است به شما بگوید که زنجیره ناقص است یا گواهی منقضی شده است. این به معنای بینیاز بودن بررسی نخست نیست. یعنی زنجیره بیش از یک مشکل داشته، پس انتظار خطای دوم را داشته باشید نه اینکه آن را شاهدی بر نادرست بودن اصلاح اول بخوانید.

گرههای متعدد این را بدتر میکنند. سرویس متعادلشده با بار میتواند گواهیهای متفاوت از اعضای متفاوت ارائه دهد، پس آزمونی که دو بار موفق و یک بار ناموفق است از ناوگان به شما میگوید نه از کارخواه شما. نشانی همتا و زمان تلاش را در تشخیص نگه دارید.

همین جزئیات است که تیکت بیثبات را به تیکتی بازتولیدپذیر بدل میکند.

با یک اتصال تازه اثباتش کنید

پس از تعمیر، اتصال تازهای باز کنید نه اینکه اتصال قدیمی را از سر بگیرید، و تأیید کنید مرحلهای که پیشتر شکست میخورد اکنون میگذرد. سپس تأیید کنید تونل واقعاً ترافیک حمل میکند، زیرا دستدهی موفق مسیر کارآمد نیست.

مرحله دقیق خطا و جزئیات گواهی را همراه تیکت نگه دارید.

همان سابقه است که مانع میشود نفر بعدی برای مشکل گواهی گذرواژههای حساب را بازنشانی کند. هویت و اعتبار دو پرسش جدا هستند و RFC 5280 مرجع نحوه ارزیابی دومی است.