Varmenteiden mitätöinti epäonnistuu: mikä isäntä ei tavoita mitä

Varmenteet voivat olla voimassaoloaikansa sisällä, vaikka VPN yhä ilmoittaa todennusvirheestä, ja joku päättelee, että varmenne on mitätöity. Nämä ovat kolme eri tosiasiaa. Mitätöintitiedot on haettava laitteella, joka validoinnin suorittaa, varmenteen sisällä nimetyltä julkaisupisteeltä. Kun tämä laite ei tavoita pistettä, tarkistus epäonnistuu syistä, jotka eivät liity varmenteen tilaan.

Validoija omistaa noutopolun

Aloita tunnistamalla validoija. Kun kannettava tarkistaa yhdyskäytävän varmenteen, noudon tekee kannettava; kun yhdyskäytävä tarkistaa asiakasvarmenteen, sen tekee yhdyskäytävä. Taustalla toimiva todennuspalvelu voi lisätä kolmannen validoijan omalla verkkosijainnillaan. Jokaisella on eri reitti internettiin ja eri välityspalvelinasetus. Ylläpitäjän työasemalla kerätyt todisteet eivät kerro mitään DMZ:n sisällä olevasta palvelimesta.

Kirjaa varmenne, validoija, yrityksen ajankohta ja tarkka tilakoodi ennen kuin muutat mitään.

Lue julkaisupiste varmenteesta

Varmenne nimeää, missä sen tila sijaitsee. Lue nuo kentät sen sijaan, että arvaisit CA-osoitteen.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Ensimmäinen laajennus luettelee CRL-jakelupisteet ja toinen luettelee menetelmät viranomaistietojen käyttöön, jotka voivat kattaa OCSP-tilan ja myöntäjävarmenteen noudon. Nämä ovat eri mekanismeja, eikä OCSP-vastaaja ole CRL-tiedosto. Julkaisuisäntä on usein tavallinen verkkopalvelin eikä CA-kone, koska offline-myöntäjä voi allekirjoittaa CRL:n, jota toinen palvelin jakaa. Siksi palomuurisääntö, joka kuvataan pääsyksi CA:han, on liian epämääräinen toteutettavaksi tai arvioitavaksi.

Testaa nouto laitteelta, joka validoi

Suorita noutotesti ympäristössä, joka todella tekee validoinnin, hyväksytyllä varmennemateriaalilla ja ilman yksityisiä avaimia.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil-ajo tarkistaa ketjun ja kertoo, mitkä URL-noudot onnistuivat tai epäonnistuivat, kun taas curl-kutsu testaa yhtä julkaisuosoitetta samasta isännästä ja palauttaa vain tilakoodin. Epäonnistunut nouto tavoitettavasta osoitteesta viittaa sisältö- tai allekirjoitusongelmiin; yhteysvirhe viittaa reititykseen, DNS:ään tai välityspalvelimeen. Säilytä molemmat tulokset, koska yksi onnistunut nouto ei todista, että koko ketju on käyttökelpoinen. Vaihda esimerkki-isäntä ja polku varmenteesta löytyvään jakelupisteeseen.

Erota puuttuvat tiedot mitätöintitilasta

Neljä tulosta näyttävät ulospäin samoilta: piste ei ole tavoitettavissa, lista on vanhentunut, listan on allekirjoittanut väärä myöntäjä tai varmenne on todella mitätöity. Vain viimeinen on tilatulos, ja vain se oikeuttaa pääsyn poistamisen. Välimuisti monimutkaistaa kuvaa edelleen, koska aiemmin noudetut tiedot voivat piilottaa rikkinäisen julkaisupolun seuraavaan päivitykseen asti. Mitätöintitarkistuksen poistaminen käytöstä, liittymättömien varmenteiden poistaminen tai yhdyskäytävän uudelleenkäynnistys korvaavat kaikki diagnoosin toiminnalla.

Korjauksen jälkeen pakota uusi todennus ja varmista, että aiottu tilanhaku onnistuu. Jos hallittu testi-identiteetti on olemassa, varmista, että se hylätään edelleen, koska käytettävyys, joka poistaa tarkistuksen, ei ole korjaus.