Sertifikaatnamme komt net oerien of is ferfallen: hoe se te ûnderskieden

Twa VPN-flaters sjogge der fan ’e stoel fan ’e brûker itselde út en freegje tsjinoerstelde oplossingen. In nammestriid seit dat it sertifikaat jildich is, mar foar eat oars útjûn. In ferfaldflater seit dat it sertifikaat op dit stuit net jildich is. Gjin fan beide is in wachtwurdprobleem, en it weromsetten fan oanmeldgegevens is yn beide gefallen it meast fergriemde oere. Lês de faze dy’t misleit foardat jo eat oanreitsje.

De flatertekst is de diagnoaze

De klant fertelt jo hokker kontrôle mislate, sels as it berjocht koart is. In nammestriid neamt de hostnamme dy’t er ferwachte en de namme dy’t er fûn. In ferfaldflater neamt jildichheidsdatums of in tiid. Dy twa sinnen wize nei ferskate dielen fan it sertifikaat.

Lês se yn ’e faze wêrop’t se ferskine. In mislearring by de handsdruk is in sertifikaatprobleem; in mislearring nei’t de tunnel omheech is, is in routing- as oanmeldprobleem. It fêsthâlden fan ’e faze is wat foarkomt dat it ûndersyk nei ûnbesibbe ynstellings ôfdwalelet.

As de mislearring per besykjen ferskilt, hawwe jo in tredde mooglikheid: mear as ien knooppunt efter deselde namme.

Nammerkontrôles: wat de klant fergeliket

De klant fergeliket de identiteit dy’t er ynsteld is om te ferwachtsjen mei de nammen yn it sertifikaat, dy’t yn ’e subjectAltName-útwreiding steane. In rûge IP yn it profyl, in alias dy’t it sertifikaat net neamt, of in namme dy’t gewoan nei deselde tsjinner oplost, mislearje allegear dizze kontrôle. De juste masjine berikke is net itselde as de juste identiteit foarlizze.

Undersykje it sertifikaat dat de tsjinner wier foarlizze, ynstee fan in bestân fan in eardere besykjen. It kommando hjirûnder freget nei de namme dy’t jo ynsteld hawwe, sadat it antwurd it sertifikaat befettet dat in wiere klant sjen soe.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

In sertifikaat fan in fertroude útjouwer kin noch foar in oare tsjinst wêze. Hâld de nammerkontrôles fan ’e klant oan, want in CA fertrouwe jout gjin tastimming foar elke namme dy’t dy CA ea ûndertekene hat. It útskeakeljen fan ’e kontrôle feroaret in konfiguraasjeflater yn in bleatstelling.

Ferfal: waans klok wurdt lêzen

Jildichheid is in pear tiidstimpels, en de ferifiearder fergeliket se mei syn eigen klok. In apparaat mei in ferkearde klok meldt in jildich sertifikaat as ferfallen of as noch net jildich, en de oplossing is de klok, net it sertifikaat. In ferskil yn tiidsônewerjefte is net itselde as in ferkearde ûnderlizzende tiid.

Fergelikje de sertifikaatdatums mei UTC op ’e klant foardat jo wat konkludearje:

openssl x509 -in cert.pem -noout -dates
date -u

As de datums wier foarby binne, fernij fia de útjouwer. As in ferfanging bestiet mar noch net jildich wurden is, folgje de stipe omskeakeling ynstee fan ’e klok te ferpleatsen om it te passen. In apparaat weromdatearje om in sertifikaat te behagjen is in beslút mei gefolgen fier bûten de tunnel.

Wêrom’t it reparearjen fan ien de oare bleatleit

Validaasje rint in rige kontrôles, en de earste mislearring stopet it rapport. Reparearje de namme en de klant kin jo dan fertelle dat de keatling net folslein is of it sertifikaat ferfallen is. Dat betsjut net dat de earste kontrôle ûnnodich wie. It betsjut dat de keatling mear as ien probleem hie, dus ferwachtsje de twadde flater ynstee fan it te lêzen as bewiis dat de earste reparaasje ferkeard wie.

Meardere knooppunten meitsje dit slimmer. In loadbalansearre tsjinst kin ferskate sertifikaten fan ferskate leden foarlizze, dus in test dy’t twa kear slagget en ien kear misleit, fertelt jo oer de float en net oer jo klant. Hâld it peeradres en de besykjenstiid yn ’e diagnoaze.

Dy detail is wat in wifkjend ticket feroaret yn in reprodukber ticket.

Bewiis it mei in nije ferbining

Nei de reparaasje iepenje jo in nije ferbining ynstee fan in âlde te ferfetsjen, en befêstigje dat de faze dy’t earder mislate no slagget. Befêstigje dan dat de tunnel wier ferkear draacht, want in slagge handsdruk is gjin wurkjende rûte.

Hâld de krekte flaterfaze en de sertifikaatdetails by it ticket.

Dat ferslach is wat foarkomt dat de folgjende persoan accountwachtwurden weromset foar in sertifikaatprobleem. Identiteit en jildichheid binne aparte fragen, en RFC 5280 is de referinsje foar hoe’t de twadde beoardiele wurdt.