ساعت اشتباه دستگاه می‌تواند VPN را متوقف کند: ابتدا زمان را بررسی کنید

VPN دیگر وصل نمی‌شود، گزارش به گواهی اشاره می‌کند و نخستین واکنش جایگزینی پروفایل است. ساعت دستگاهی که چند دقیقه یا چند ساعت خطا داشته باشد دقیقاً همان خطا را می‌سازد، زیرا اعتبار گواهی بر اساس لحظه محلی سنجیده می‌شود. برچسب منطقه زمانی روی صفحه مشکل نیست؛ خودِ زمان مشکل است. پیش از دست زدن به هر ماده گواهی، ساعت را بررسی کنید.

خطا شبیه مشکل گواهی است، نه مشکل ساعت

دست‌دادن TLS زمانی شکست می‌خورد که گواهی طرف مقابل نسبت به ساعت بررسی‌کننده بیرون از پنجره اعتبارش بیفتد. این بررسی روی کلاینت اجرا می‌شود، پس ساعت اشتباه کلاینت گواهی کاملاً سالم را رد می‌کند. متن خطا نام گواهی را می‌آورد و به همین دلیل مردم آن را عوض می‌کنند و همان شکست را دوباره می‌بینند. ساعت فرضیه ارزان‌تر است و باید نخست آزموده شود.

ساعتی که از زمان واقعی جلو باشد گواهی فعلی را منقضی رد می‌کند و ساعتی که عقب باشد گواهی تازه‌تر را هنوز معتبر ندانسته رد می‌کند. هر دو پیام به تاریخ اشاره می‌کنند و هر دو بدون هیچ تماسی با مرجع صدور گواهی ساخته می‌شوند. همین نشانه است: انقضای واقعی همه کلاینت‌ها را درگیر می‌کند، در حالی که مشکل ساعت فقط همان ماشینی را که زمان اشتباه دارد.

لحظه را بخوانید، سپس گواهی را

پیش از تغییر هر چیزی، ساعت را در UTC و تاریخ‌های خود گواهی را چاپ کنید. مقایسه دو لحظه مطلق پرسش منطقه زمانی را کاملاً از بررسی حذف می‌کند. اگر پنجره گواهی لحظه کنونی را در بر بگیرد، گواهی دلیل شکست شما نیست.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

اگر ساعت محلی خطا دارد، بررسی کنید که همگام شده است یا نه و با چه منبعی. ماشینی که همگام‌سازی‌اش خاموش است یا منبع زمانی دارد که به آن نمی‌رسد، تا وقتی چیزی خراب شود کج می‌شود. خروجی وضعیت منبع و آخرین تنظیم موفق را نام می‌برد که از انحراف کنونی به‌تنهایی سودمندتر است. انحراف بزرگ بدون منبع تنظیم‌شده مشکلی متفاوت از انحراف کوچک نسبت به منبعی کارآمد است.

timedatectl timesync-status
chronyc tracking

اگر گواهی واقعاً برای همه کلاینت‌ها منقضی شده، توقف کنید. آنگاه ساعت درست است و گواهی به تمدید نیاز دارد، نه به تنظیم.

کدهای ورود به دلیلی مرتبط اما متفاوت شکست می‌خورند

گذرواژه‌های یک‌بارمصرف مبتنی بر زمان ارزش خود را از گام زمانی کنونی می‌گیرند، معمولاً سی ثانیه. دستگاهی که ساعتش بیش از یک یا دو گام خطا دارد کدهایی می‌سازد که سرور نمی‌پذیرد، حتی اگر کاربر ارقام درست را زده باشد. خطا شبیه گذرواژه اشتباه است و این مردم را به چرخه بازنشانی می‌فرستد که نمی‌تواند ساعت را درست کند.

مشخص کنید کدام مؤلفه تلاش را رد کرده، زیرا کلاینت VPN، درگاه و ارائه‌دهنده هویت مراحل متفاوتی را گزارش می‌دهند. اگر کد رد شود اما گذرواژه پذیرفته شود، حساب احتمالاً سالم است و ساعت مشکوک است. اگر هر دو رد شوند، ممکن است حساب قفل باشد و ساعت ردپای نادرست باشد. به راهنمای بازیابی ارائه‌دهنده عمل کنید و درخواست‌هایی را که خود آغاز نکرده‌اید تأیید نکنید.

ساعت را به عقب برنگردانید تا کدی کار کند. این کار علت را پنهان می‌کند و بررسی زمانی بعدی را خراب می‌کند.

منبع را درست کنید، نه ساعت نمایش‌داده‌شده را

همگام‌سازی یک سرویس شبکه‌ای است و تونل می‌تواند دسترسی به منبع زمان را تغییر دهد. منبع سازمانی ممکن است به تونل نیاز داشته باشد، در حالی که منبع عمومی ممکن است با سیاست مسدود شود. مرور می‌تواند کار کند در حالی که مسیر خود سرویس زمان شکست می‌خورد و به همین دلیل این وابستگی آسان از چشم می‌افتد. NTP پروتکل پشت تنظیم است و مانند هر سرویس دیگری مسیر خودش را می‌خواهد.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

مشکل ترتیب راه‌اندازی هم هست: ساعت بسیار اشتباه می‌تواند تونل احراز هویت‌شده‌ای را ناممکن کند و تنها منبع زمان قابل‌استفاده ممکن است پشت همان تونل باشد. ناوگان مدیریت‌شده برای این وضعیت به رویه‌ای مستند نیاز دارد و دور زدن بررسی گواهی چنین رویه‌ای نیست. روی دستگاه شخصی از کنترل‌های زمان خود سیستم عامل استفاده کنید و بفهمید چرا ساعت پس از خاموشی یا بازگردانی از دست می‌رود. ماشینی که در هر راه‌اندازی کج می‌شود مشکل سخت‌افزار یا پیکربندی دارد، نه مشکل VPN.

پس از تعمیر، اتصال اصلی را دوباره امتحان کنید و خطای جدید را جداگانه بخوانید. هویت بد سرور، گواهی‌ای که واقعاً منقضی شده و حسابی که رد شده سه شکست متفاوت‌اند و مخلوط کردنشان همان چیزی است که یک اصلاح ساده ساعت را به یک هفته عوض کردن پروفایل تبدیل می‌کند.