Takardar shaidar VPN ba ta inganta ba tukuna: dalilai uku, tsarin dubawa ɗaya

Kuna buɗe abokin ciniki, kuna zaɓar bayanin da kuka yi amfani da shi tsawon watanni, sai ya tsaya da "certificate is not yet valid". Babu abin da ya canza a shigarku, kuma ajiyar amana mai yiwuwa tana lafiya: takardar shaidar da aka gabatar a musafaha tana ɗauke da taga inganci wanda zai fara bayan lokacin da mai dubawa ke amfani da shi. Yanayi uku daban-daban suna haifar da wannan saƙon, kuma suna buƙatar matakai daban-daban. Tsarin da ke ƙasa zai gaya muku wanne kuke da shi kafin ku taɓa agogo ko fayil ɗin takardar shaidar.

Wanne daga cikin dalilai ukun kuke gani

Dalili na farko na gida ne: na'urar da ke yin binciken tana da agogo wanda ya gabata kwanakin farkon takardar shaidar. Kuna ganin hakan a kan kayan aiki mai mataccen baturin CMOS, a kan injin kama-da-wane da aka mayar da su daga tsohon hoto, a kan na'urorin da suka yi kashewa tsawon da suka isa su rasa lokaci, da kuma a cibiyoyin sadarwa inda aka toshe NTP mai fita kuma babu wanda ya lura. Takardar shaidar na iya zama cikakkiyar ingantacciya kuma har yanzu ta kasa ta wannan hanya.

Dalili na biyu na mai bayarwa ne, domin takardar shaidar da gaske tana farawa nan gaba: an bayar da ita da wuri, an ƙirƙira ta da takamaiman lokacin farawa, ko an sa hannu a matsayin ɓangaren matakin kunnawa wanda ba a yi ba tukuna. Dalili na uku shine ya fi ɓata lokaci, domin ganyen yana aiki yayin da wata takardar shaidar a cikin sarkar da aka gabatar ba ta aiki ba, don haka kuskuren yana ambaton kayan da ba ku taɓa girka ba.

Tambaya ɗaya ta raba su. Shin gazawar tana bin na'urar ko sabis ɗin? Injina biyu a cibiyar sadarwa ɗaya da suke yin hali daban suna nuni ga agogo. Idan kowane abokin ciniki ya kasa iri ɗaya, hakan yana nuni ga tagar takardar shaidar da sarkar da ke bayanta.

Karanta tagar daga takardar shaidar da aka gabatar da gaske

Kada ku duba fayil ɗin PEM da ya ragu daga turawar da ta gabata; ku tambayi sabis ɗin sarkar da yake aikawa yanzu. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts yana buga kowace takardar shaidar a cikin sarkar. Ajiye ɓangaren da kuke buƙata sannan ku gudanar da openssl x509 -noout -subject -issuer -dates; na ƙarshe yana buga notBefore da notAfter, kuma waɗannan ƙididdiga biyu ne ke yanke hukunci. A Windows, tattaunawar takardar shaidar haɗin da certutil -dump a kan fayil ɗin da aka fitar suna nuna filayen iri ɗaya.

Karanta ƙarshen tagar biyu, ba farkon kawai ba. Takardar shaidar da za ta buɗe cikin sa'o'i biyu da wadda za ta rufe cikin sa'o'i biyu suna kasa da saƙonni daban-daban kuma suna jawo ƙungiyoyi daban-daban. Lura wace takardar shaidar kuskuren ya ambata — ganye, tsakiya ko tushe — domin hakan ne ke yanke shawarar ko za a iya gyara wani abu a gefen abokin ciniki kwata-kwata.

Hakanan za ku iya gwada tagar ba tare da jira ta ba. Tabbatarwa tana karɓar takamaiman lokaci: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem yana kimanta sarkar a wannan tambarin lokaci. Gudanar da shi da lokacin yanzu don sake haifar da gazawar, sannan da lokacin farkon takardar shaidar don tabbatar da cewa sarkar ɗaya za ta wuce da zarar tagar ta buɗe. RFC 5280 yana bayyana filin inganci da ƙa'idar cewa ba za a yi amfani da takardar shaidar a wajensa ba, kuma wannan ita ce ƙa'idar da abokin cinikinku ya aiwatar yanzu.

Agogonku, ko nasu

Kwatanta agogon na'urar da farkon takardar shaidar a UTC, daga tushen da kuka amince da shi. date -u yana ba da lokacin, kuma timedatectl status a kan mai masaukin systemd yana kuma ba da rahoton ko an daidaita agogon. A Windows, w32tm /query /status yana nuna tushen yanzu da nasarar daidaitawa ta ƙarshe. Yankin lokaci da aka nuna a tire shine zaɓin nunawa, ba kuskuren agogo ba; mai dubawa yana kwatanta lokutan UTC.

Idan agogon yana baya, sake daidaitawa kuma sake gwadawa kafin canza kowane kayan takardar shaidar. Na'urar da ta yi kuskure mintuna ko sa'o'i tana ƙin kowace takardar shaidar da aka bayar kwanan nan da ta ci karo da ita, ba sabis ɗaya kaɗai ba, don haka bayanin sabis ɗaya yawanci shine kuskure. Idan agogon daidai ne kuma an daidaita shi, daina kallon na'urar: tagar ta mai bayarwa ce, kuma babu wani saitin gida da ya kamata a daidaita don ya wuce.

Wannan tebur shine dukan shawarar. Motsa agogonku zuwa abin da takardar shaidar ke tsammani ba gyara ba ne, kuma kashe duban lokaci shima ba gyara ba ne, domin duka biyu suna ɓoye yanayin da ya haifar da kuskuren.

Me yasa sarkar ke kasa yayin da ganyen yake da kyau

Sabbin ganye da maye gurbin takardun shaidar tsakiya yawanci ana aika su tare, kuma ba koyaushe suke sauka a lokaci ɗaya ba. Sabis na iya aika sabon ganye wanda takardar tsakiya ta sa hannu wanda nata tagar ta fara daga baya, ko kuma ya ci gaba da ba da tsohuwar tsakiya ƙarƙashin sabon ganye. Ko ta yaya sarkar tana kasa yayin da kwanakin ganyen kansu suke da kyau.

Ƙarshen da aka daidaita nauyi suna juya wannan daga karyayye zuwa maras daidaito. Idan sake gwadawa ya yi nasara, ko cibiyar sadarwa ɗaya tana aiki yayin da ɗayan ba ya aiki, rubuta wanda ya amsa da wace sarkar ya aika kafin canza saiti. openssl s_client yana buga adireshin da aka haɗa, don haka ƴan ƙoƙari suna bayyana ko kowane kumburi yana ba da sarkar ɗaya.

Hanyoyin gyara da ke kiyaye tabbatarwa

Matsalar agogo ana gyara ta a na'urar tare da barin tabbatarwa a kunne. Matsalar takardar shaidar mai aiki yana gyara ta da kayan da aka bayar don taga wanda ya riga ya haɗa yanzu. Babu saitin abokin ciniki da ke sa takardar shaidar da ba ta inganta ba tukuna ta inganta; tutocin da ke tsallake duban lokaci suna nan domin ku tabbatar da ganewar asali, ba don tura su cikin samarwa ba.

Lokacin da aka shirya takardar shaidar don kunnawa da aka tsara, bi tsarin miƙa mulki. Girka ta lokacin da tagarta ta buɗe, ko yi amfani da hanyar haɗuwa da mai bayarwa ya rubuta, maimakon girka ta da wuri da koyar da masu amfani su danna ta cikin gargaɗi. Gargaɗin da mutane suka koya yin watsi da su suna kashe fiye da ɗan jinkiri.

A ƙarshe, sake gwadawa kamar yadda gazawar ta faru: sabon zama, abokin ciniki ɗaya, albarkatun da kuke buƙata da gaske. Ƙungiyoyin TLS na iya adana sarkar da aka tabbatar a ajiya tsawon rayuwar haɗi, kuma zama da aka ci gaba ba lallai ba ne ya sake duba ta, don haka tsohon zama na iya ci gaba da kasa bayan gyaran ko ci gaba da aiki bayan koma baya. Fayil ɗin da ke buɗewa a cikin mai kallo yana tabbatar kawai cewa fayil ɗin ana iya karantawa; musafaha da aka kammala yana tabbatar da cewa sarkar tana inganta.

Kafin ku rufe tikit ɗin, tabbatar da abubuwa huɗu: lokacin UTC da yanayin daidaitawa na na'urar da ta kasa, notBefore da notAfter na kowace takardar shaidar a cikin sarkar da aka gabatar, sarkar ɗaya daga abokin ciniki na biyu, da sunan da kuskuren ya ba takardar shaidar. Idan agogon daidai ne kuma tagar ba ta buɗe ba, sauran aikin mai aiki ne, kuma matakin da ya dace a gefenku shine jira tagar maimakon raunana dubawa.