Väärä laitekello voi pysäyttää VPN:n: tarkista aika ensin

VPN lakkaa yhdistämästä, loki mainitsee varmenteen ja ensimmäinen vaisto on vaihtaa profiili. Minuutteja tai tunteja väärässä oleva laitekello tuottaa juuri sen virheen, koska varmenteen voimassaoloa arvioidaan paikallista hetkeä vasten. Näytön aikavyöhyketunniste ei ole ongelma; ongelma on taustalla oleva aika. Tarkista kello ennen kuin kosket mihinkään varannemateriaaliin.

Virhe näyttää varmenneongelmalta, ei kello-ongelmalta

TLS-kättely epäonnistuu, kun toisen osapuolen varmenne jää voimassaoloikkunansa ulkopuolelle tarkistajan kelloon nähden. Tarkistus ajetaan asiakkaassa, joten väärä asiakaskello hylkää täysin kelvollisen varmenteen. Virheteksti nimeää varmenteen, ja siksi ihmiset vaihtavat sen ja näkevät saman epäonnistumisen uudelleen. Kello on halvempi hypoteesi ja se pitäisi testata ensin.

Todellista aikaa edellä oleva kello hylkää nykyisen varmenteen vanhentuneena; jäljessä oleva kello hylkää uudemman vielä kelpaamattomana. Molemmat viestit osoittavat päivämääriin, ja molemmat syntyvät ilman mitään yhteyttä varmentajaan. Se on vihje: todellinen vanheneminen vaikuttaa kaikkiin asiakkaisiin, kun taas kello-ongelma vaikuttaa vain siihen yhteen koneeseen, jossa on väärä aika.

Lue hetki ja sitten varmenne

Tulosta kello UTC:nä ja varmenteen omat päivämäärät ennen kuin muutat mitään. Kahden absoluuttisen hetken vertailu poistaa aikavyöhykekysymyksen tutkinnasta kokonaan. Jos varmenteen ikkuna sisältää nykyisen hetken, varmenne ei ole sinun epäonnistumisesi.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Jos paikallinen kello on väärä, tarkista, onko se synkronoitu ja mihin. Kone, jonka synkronointi on pois päältä tai jonka aikalähteeseen se ei pääse, ajautuu, kunnes jokin epäonnistuu. Tilatuloste nimeää lähteen ja viimeisen onnistuneen säädön, mikä on hyödyllisempää kuin pelkkä nykyinen poikkeama. Suuri poikkeama ilman määritettyä lähdettä on eri ongelma kuin pieni poikkeama toimivaan lähteeseen nähden.

timedatectl timesync-status
chronyc tracking

Pysähdy, jos varmenne on todella vanhentunut kaikilla asiakkailla. Silloin kello on kunnossa ja varmenne tarvitsee uusimisen, ei säätöä.

Kirjautumiskoodit epäonnistuvat samankaltaisesta mutta eri syystä

Aikaan perustuvat kertakäyttösalasanat johtavat arvonsa nykyisestä aikavaiheesta, yleensä kolmestakymmenestä sekunnista. Laite, jonka kello on yli vaiheen tai kahden verran väärä, tuottaa koodeja, joita palvelin ei hyväksy, vaikka käyttäjä kirjoitti oikeat numerot. Virhe näyttää väärältä salasanalta, mikä ajaa ihmiset nollauskierrokseen, joka ei voi korjata kelloa.

Selvitä, mikä komponentti hylkäsi yrityksen, koska VPN-asiakas, yhdyskäytävä ja identiteetintarjoaja raportoivat eri vaiheista. Jos koodi hylätään mutta salasana hyväksytään, tili on luultavasti kunnossa ja kello on epäilty. Jos molemmat hylätään, tili voi olla lukittu ja kello on väärä johtolanka. Noudata tarjoajan palautusohjeita sen sijaan, että hyväksyisit pyyntöjä, joita et aloittanut.

Älä siirrä kelloa taaksepäin saadaksesi koodin toimimaan. Se kätkee syyn ja rikkoo seuraavan aikaan perustuvan tarkistuksen.

Korjaa lähde, älä näytettyä tuntia

Synkronointi on verkkopalvelu, ja tunneli voi muuttaa sitä, onko aikalähde tavoitettavissa. Yrityksen lähde voi vaatia tunnelin, kun taas julkinen lähde voi olla käytännöillä estetty. Selailu voi toimia, vaikka aikapalvelun oma reitti epäonnistuu, ja siksi tämä riippuvuus on helppo jättää huomaamatta. NTP on säädön takana oleva protokolla, ja se tarvitsee oman reittinsä kuten mikä tahansa muukin palvelu.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Myös käynnistysjärjestyksessä on ongelma: hyvin väärä kello voi estää todennetun tunnelin, ja ainoa käyttökelpoinen aikalähde voi olla sen tunnelin takana. Hallittu laivasto tarvitsee siihen tilaan dokumentoidun menettelyn, eikä varmenteen tarkistuksen ohittaminen ole sellainen. Henkilökohtaisessa laitteessa käytä käyttöjärjestelmän omia aika-asetuksia ja selvitä, miksi kello katoaa sammutuksen tai palautuksen jälkeen. Kone, joka ajautuu joka käynnistyksellä, kärsii laitteisto- tai kokoonpano-ongelmasta, ei VPN-ongelmasta.

Korjauksen jälkeen yritä alkuperäistä yhteyttä uudelleen ja lue uusi virhe erikseen. Huono palvelinidentiteetti, todella vanhentunut varmenne ja hylätty tili ovat kolme eri epäonnistumista, ja niiden sekoittaminen on se, miten yksinkertaisesta kellokorjauksesta tulee viikko profiilien vaihtamista.