A revocación de certificados falla: que host non acada que

Os certificados poden estar dentro do seu período de validez mentres a VPN segue informando dun fallo de autenticación, e alguén conclúe que o certificado está revogado. Son tres feitos distintos. Os datos de revocación débeos obter o dispositivo que realiza a validación, desde un punto de publicación indicado dentro do propio certificado. Cando ese dispositivo non pode acadar o punto, a comprobación falla por motivos que nada teñen que ver co estado do certificado.

O validador posúe a ruta de descarga

Comece identificando o validador. Cando un portátil comproba o certificado da pasarela, a descarga faia o portátil; cando a pasarela comproba un certificado de cliente, faia a pasarela. Un servizo de autenticación en segundo plano pode engadir un terceiro validador coa súa propia posición de rede. Cada un ten unha ruta distinta a internet e unha configuración de proxy distinta. As probas recollidas na estación de traballo dun administrador non din nada sobre un servidor dentro dunha DMZ.

Anote o certificado, o validador, a hora do intento e o código de estado exacto antes de cambiar nada.

Lea o punto de publicación no certificado

O certificado indica onde vive o seu estado. Lea eses campos en lugar de adiviñar un enderezo de CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

A primeira extensión enumera puntos de distribución de CRL, e a segunda enumera métodos de acceso á información da autoridade, que poden cubrir o estado OCSP e a obtención do certificado do emisor. Son mecanismos distintos, e un respondedor OCSP non é un ficheiro CRL. O host de publicación adoita ser un servidor web común e non a máquina da CA, porque un emisor sen conexión pode asinar unha CRL que distribúe outro servidor. Por iso, unha regra de cortalumes descrita como acceso á CA é demasiado vaga para implementala ou revisala.

Probe a descarga desde o dispositivo que valida

Execute a proba de descarga na contorna que realmente realiza a validación, con material de certificado aprobado e sen claves privadas.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

A execución de certutil verifica a cadea e informa de que descargas de URL tiveron éxito ou fallaron, mentres que a chamada a curl proba un enderezo de publicación desde o mesmo host e só devolve un código de estado. Unha descarga fallida desde un enderezo accesible apunta a problemas de contido ou de sinatura; un erro de conexión apunta a enrutamento, DNS ou proxy. Conserve ambos os resultados, porque unha descarga correcta non demostra que toda a cadea sexa utilizábel. Cambie o host e a ruta do exemplo polo punto de distribución atopado no certificado.

Separe os datos ausentes do estado revogado

Catro resultados parecen iguais desde fóra: o punto non é accesible, a lista está obsoleta, a lista está asinada polo emisor equivocado ou o certificado está realmente revogado. Só o último é un resultado de estado, e só ese xustifica retirar o acceso. A caché complica aínda máis o panorama, porque os datos obtidos antes poden ocultar unha ruta de publicación rota ata o seguinte refresco. Desactivar a comprobación de revocación, borrar certificados non relacionados ou reiniciar a pasarela substitúen o diagnóstico por actividade.

Tras a corrección, force unha autenticación nova e confirme que a descarga de estado prevista ten éxito. Onde exista unha identidade de proba controlada, confirme que segue a ser rexeitada, porque unha dispoñibilidade que elimina a comprobación non é unha reparación.