In ferkearde klok op it apparaat kin VPN stopsette: kontrolearje earst de tiid

De VPN stopset mei ferbinen, it loch neamt in sertifikaat, en de earste ympuls is it profyl ferfange. In klok op it apparaat dy’t minuten of oeren mis is, makket krekt dy flater, om’t de jildigens fan in sertifikaat tsjin it pleatslike momint beoardiele wurdt. It label fan de tiidsône op it skerm is net it probleem; de ûnderlizzende tiid is it. Kontrolearje de klok foardat jo hokker sertifikaatmateriaal oanreitsje.

De flater liket in sertifikaatprobleem, net in klokprobleem

De TLS-hânskikking mislearret as it sertifikaat fan de oare partij bûten syn jildichheidsfinster falt yn ferhâlding ta de klok fan de kontrolearder. Dy kontrôle rint op de klient, dus in ferkearde klok fan de klient wiist in folslein goed sertifikaat ôf. De flatertekst neamt it sertifikaat, en dêrom ferfange minsken it en sjogge se deselde mislearring wer. De klok is de goedkeapere hypoteze en moat earst teste wurde.

In klok foar de echte tiid út wiist in aktueel sertifikaat ôf as ferfallen; in klok efter wiist in nijer ôf as noch net jildich. Beide berjochten wize op datums, en beide wurde makke sûnder hokker kontakt dan ek mei de sertifikaatautoriteit. Dat is it teken: in echte ferfaldatum rekket elke klient, wylst in klokprobleem allinnich dy iene masine mei de ferkearde tiid rekket.

Lês it momint, dan it sertifikaat

Print de klok yn UTC en de eigen datums fan it sertifikaat foardat jo wat feroarje. It fergelykjen fan twa absolute mominten hellet de fraach fan de tiidsône hielendal út it ûndersyk. As it finster fan it sertifikaat it hjoeddeiske momint befettet, is it sertifikaat net jo mislearring.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

As de pleatslike klok mis is, kontrolearje dan oft dy syngronisearre is en wêrmei. In masine mei syngronisaasje útskeakele, of mei in tiidboarne dy’t er net berikke kin, driftet oant der wat mislearret. De statusútfier neamt de boarne en de lêste slagge oanpassing, wat nuttiger is as de hjoeddeiske ôfwiking allinnich. In grutte ôfwiking sûnder konfigurearre boarne is in oar probleem as in lytse ôfwiking tsjin in wurkjende boarne.

timedatectl timesync-status
chronyc tracking

Stop as it sertifikaat echt ferfallen is foar elke klient. Dan is de klok goed en hat it sertifikaat fernijing nedich, net oanpassing.

Oanmeldkoades mislearje om in besibbe mar oare reden

Tiidbasearre ienmalige wachtwurden helje har wearde út de hjoeddeiske tiidstap, meastentiids tritich sekonden. In apparaat waans klok mear as in stap of twa mis is, makket koades dy’t de tsjinner net akseptearje sil, sels as de brûker de goede sifers typt hat. De flater liket in ferkeard wachtwurd, wat minsken yn in weromsetluss stjoert dy’t in klok net reparearje kin.

Sykje út hokker komponint de poging ôfwiisde, om’t de VPN-klient, de gateway en de identiteitsleveransier ferskillende stadia melde. As de koade ôfwiisd wurdt mar it wachtwurd akseptearre, is it akkount wierskynlik goed en is de klok de fertochte. As beide ôfwiisd wurde, kin it akkount beskoattele wêze en is de klok in falsk spoar. Folgje de herstelrjochtlinen fan de leveransier ynstee fan oanfragen goed te kearen dy’t jo net begûn binne.

Sette de klok net werom om in koade wurkje te litten. It ferberget de oarsaak en brekt de folgjende tiidbasearre kontrôle.

Reparearje de boarne, net it toande oere

Syngronisaasje is in netwurkstsjinst, en de tunnel kin feroarje oft de tiidboarne berikber is. In korporative boarne kin de tunnel easkje, wylst in iepenbiere boarne troch belied blokkearre wurde kin. Browsen kin wurkje wylst it eigen paad fan de tiidtsjinst mislearret, en dêrom is dizze ôfhinklikens maklik te missen. NTP is it protokol efter de oanpassing, en it hat syn eigen paad nedich lykas elke oare tsjinst.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Der is ek in probleem mei de opstartfolchoarder: in hiel ferkearde klok kin in autentisearre tunnel foarkomme, en de iennige brûkbere tiidboarne kin efter dy tunnel sitte. In beheard float hat in dokumintearre proseduere nedich foar dy steat, en it omsilen fan sertifikaatferifikaasje is dat net. Op in persoanlik apparaat, brûk de eigen tiidkontrôles fan it bestjoeringssysteem en sykje út wêrom’t de klok ferlern giet nei útskeakeljen of weromsetten. In masine dy’t by elke opstart driftet, hat in hardware- of konfiguraasjeprobleem, net in VPN-probleem.

Nei de reparaasje, probearje de oarspronklike ferbining opnij en lês de nije flater apart. In minne tsjinneridentiteit, in sertifikaat dat echt ferfallen is en in ôfwiisd akkount binne trije ferskillende mislearrings, en se trochinoar helje is hoe’t in ienfâldige klokkorreksje in wike fan profylferfangingen wurdt.