VPN-sertifikaat noch net jildich: trije oarsaken, ien kontrôleoarder
Noch-net-jildich betsjut dat de klok fan it apparaat efter is, it finster echt letter begjint, of dat in tuskenlizzend sertifikaat noch net iepene is. Kontrolearje se yn dy oarder.
Jo iepenje de klient, kieze it profyl dat jo al moannen brûke, en it stoppt mei "certificate is not yet valid". Oan jo oanmelding is neat feroare, en de fertrouwensopslach is wierskynlik yn oarder: it sertifikaat dat yn 'e hânskud oanbean wurdt, draacht in jildichheidsfinster dat letter begjint as it momint dat de ferifiearder brûkt. Trije ferskillende situaasjes produsearje krekt dy boadskip, en se freegje om ferskillende aksjes. De oarder hjirûnder fertelt jo hokker jo hawwe foardat jo in klok of in sertifikaatbestân oanreitsje.
Hokker fan de trije oarsaken jo sjogge
De earste oarsaak is lokaal: it apparaat dat de kontrôle docht hat in klok dy't earder is as de begjindatum fan it sertifikaat. Jo sjogge it op hardware mei in deade CMOS-batterij, op firtuele masines dy't fan in âlde snapshot werombrocht binne, op apparaten dy't lang genôch útskeakele west hawwe om de tiid te ferliezen, en op netwurken dêr't útgeande NTP blokkearre is en nimmen it murk. It sertifikaat kin folslein jildich wêze en dochs op dizze manier mislearje.
De twadde oarsaak heart by de útjouwer, om't it sertifikaat echt yn 'e takomst begjint: betiid útjûn, generearre mei in eksplisite begjintiid, of ûndertekene as diel fan in aktivearringsstap dy't noch net rûn hat. De tredde oarsaak fergriemt de measte tiid, om't it blêd aktueel is wylst in oar sertifikaat yn 'e oanbeane keatling dat net is, sadat de flater materiaal neamt dat jo nea ynstalleare hawwe.
Ien fraach skiedt se. Folget de mislearring it apparaat of de tsjinst? Twa masines op itselde netwurk dy't har oars gedrage, wize op klokken. Eltse klient dy't op deselde manier mislearret, wiist op it finster fan it sertifikaat en de keatling dêrefter.
Lês it finster út it sertifikaat dat echt oanbean is
Understekje gjin PEM-bestân dat fan in eardere útrol oerbleaun is; freegje de tsjinst om 'e keatling dy't it no stjoert. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts prints elke sertifikaat yn 'e keatling. Bewarje it blok dat jo oangiet en rin openssl x509 -noout -subject -issuer -dates; de lêste prints notBefore en notAfter, en dat binne de twa wearden dy't it beslisse. Op Windows litte de sertifikaatdialooch foar de ferbining en certutil -dump op in eksportearre bestân deselde fjilden sjen.
Lês beide einen fan it finster, net allinnich it begjin. In sertifikaat dat oer twa oeren iepene giet en ien dat oer twa oeren slút, mislearje mei ferskillende boadskippen en belûke ferskillende teams. Notearje hokker sertifikaat de flater neamt — blêd, tuskenlizzend of woartel —, om't dat beslút oft der oan 'e kliïntkant al wat te reparearjen is.
Jo kinne it finster ek teste sûnder derop te wachtsjen. Ferifikaasje akseptearret in eksplisite tiid: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem evaluearret de keatling op dat tiidstimpel. Rin it mei de hjoeddeiske tiid om 'e mislearring te reprodusearjen, dan mei de begjintiid fan it sertifikaat om te befêstigjen dat deselde keatling slagget sadree't it finster iepene giet. RFC 5280 definiearret it jildichheidsfjild en de regel dat in sertifikaat derbûten net brûkt wurde mei, en dat is de regel dy't jo klient krekt hanthavene hat.
Jo klok, of harres
Fergelykje de klok fan it apparaat mei it begjin fan it sertifikaat yn UTC, fan in boarne dy't jo fertrouwe. date -u jout it momint, en timedatectl status op in systemd-host rapportearret ek oft de klok syngronisearre is. Op Windows lit w32tm /query /status de hjoeddeiske boarne en de lêste suksesfolle syngronisaasje sjen. In tiidsône yn 'e taakbalke is in werjaflike kar, gjin ferkearde klok; de ferifiearder fergeliket UTC-mominten.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
As de klok efter is, syngronisearje dan opnij en test opnij foardat jo sertifikaatmateriaal feroarje. In apparaat dat minuten of oeren mis is, wiist elk koartby útjûn sertifikaat ôf dat it tsjinkomt, net ien tsjinst, dus in ferklearring fan ien tsjinst is meastentiids de ferkearde. As de klok goed is en syngronisearre, stopje dan mei nei it apparaat te sjen: it finster heart by de útjouwer, en gjin lokale ynstelling moat oanpast wurde om it te litten slagjen.
Dy tabel is de hiele beslissing. Jo klok ferpleatse nei wat it sertifikaat ferwachtet is gjin reparaasje, en tiidkontrôles útskeakelje ek net, om't beide de tastân ferbergje dy't de flater produsearre hat.
Wêrom't de keatling mislearret wylst it blêd goed liket
Ferfrisse blêden en ferfangende tuskenlizzende sertifikaten wurde meastentiids tegearre ferstjoerd, en se lânje net altyd op itselde momint. In tsjinst kin in nij blêd stjoere dat ûndertekene is troch in tuskenlizzend sertifikaat wêrfan't it eigen finster letter begjint, of in âlder tuskenlizzend sertifikaat ûnder in farsk blêd tsjinje bliuwe. Hoe dan ek mislearret de keatling wylst de eigen datums fan it blêd ridlik lykje.
Ladferdielde einpunten meitsje dit fan stikken yn inkonsistint. As in nij besykjen slagget, of ien netwurk wurket wylst in oar dat net docht, notearje dan wa't antwurde en hokker keatling it stjoerde foardat jo ynstellingen feroarje. openssl s_client prints it ferbûne adres, dus in pear besykjen litte sjen oft elke knooppunt deselde keatling tsjinnet.
Reparaasjepaden dy't de ferifikaasje yntakt hâlde
In klokprobleem wurdt op it apparaat reparearre mei ferifikaasje oan. In sertifikaatprobleem wurdt troch de operator reparearre mei materiaal dat útjûn is foar in finster dat no al omfettet. Gjin klientynstelling makket in noch-net-jildich sertifikaat jildich; de flaggen dy't tiidkontrôles oerslaan besteane sadat jo in diagnose befêstigje kinne, net sadat jo se útrolle.
As it sertifikaat klear makke is foar in plande aktivearring, folgje dan it oergongsplan. Ynstallearje it as syn finster iepene giet, of brûk de oerlappingsproseduere dy't de oanbieder dokumintearret, ynstee fan it betiid te ynstallearjen en brûkers te learen troch warskôgings te klikken. Warskôgings dy't minsken leare te negearjen kostje mear as in koarte fertraging.
Test úteinlik opnij sa't de mislearring barde: in nije sesje, deselde klient, de boarne dy't jo echt nedich hawwe. TLS-biblioteken kinne in ferifiearre keatling foar de libbensdoer fan in ferbining yn 'e cache hâlde, en in werfette sesje kontrolearret it net needsaaklik opnij, dus in âlde sesje kin nei de reparaasje mislearje bliuwe of nei in regression wurkje bliuwe. In bestân dat yn in werjefte iepent, bewiist allinnich dat it bestân lêsber is; in foltôge hânskud bewiist dat de keatling ferifiearret.
Foardat jo it ticket slute, befêstigje fjouwer dingen: de UTC-tiid en syngronisaasjesteat fan it mislearjende apparaat, de notBefore en notAfter fan elk sertifikaat yn 'e oanbeane keatling, deselde keatling fan in twadde klient, en de namme dy't de flater oan it sertifikaat jout. As de klok goed is en it finster noch net iepene is, is de rest it wurk fan 'e operator, en de krekte set fan jo kant is wachtsje op it finster ynstee fan de kontrôle te ferswakjen.