गलत डिवाइस घड़ी VPN रोक सकती है: पहले समय जाँचें

VPN जुड़ना बंद कर देता है, लॉग प्रमाणपत्र का ज़िक्र करता है, और पहली प्रवृत्ति प्रोफ़ाइल बदलने की होती है। मिनटों या घंटों गलत डिवाइस घड़ी ठीक वही त्रुटि पैदा करती है, क्योंकि प्रमाणपत्र की वैधता स्थानीय पल के आधार पर आँकी जाती है। स्क्रीन पर समय क्षेत्र का लेबल समस्या नहीं है; समस्या अंतर्निहित समय है। किसी भी प्रमाणपत्र सामग्री को छूने से पहले घड़ी जाँचें।

त्रुटि घड़ी की नहीं, प्रमाणपत्र की समस्या जैसी दिखती है

TLS हैंडशेक तब विफल होता है जब दूसरे पक्ष का प्रमाणपत्र सत्यापनकर्ता की घड़ी के सापेक्ष अपनी वैधता विंडो से बाहर हो जाता है। वह जाँच क्लाइंट पर चलती है, इसलिए गलत क्लाइंट घड़ी पूरी तरह अच्छे प्रमाणपत्र को अस्वीकार कर देती है। त्रुटि का पाठ प्रमाणपत्र का नाम लेता है, इसीलिए लोग उसे बदलते हैं और वही विफलता फिर देखते हैं। घड़ी सस्ती परिकल्पना है और उसे पहले परखा जाना चाहिए।

वास्तविक समय से आगे चलती घड़ी वर्तमान प्रमाणपत्र को समाप्त मानकर अस्वीकार करती है; पीछे रहने वाली घड़ी नए प्रमाणपत्र को अभी वैध नहीं मानकर अस्वीकार करती है। दोनों संदेश तिथियों की ओर इशारा करते हैं, और दोनों प्रमाणपत्र प्राधिकरण के किसी संपर्क के बिना बनते हैं। यही संकेत है: असली समाप्ति हर क्लाइंट को प्रभावित करती है, जबकि घड़ी की समस्या केवल उस एक मशीन को जिसका समय गलत है।

पल पढ़ें, फिर प्रमाणपत्र

कुछ भी बदलने से पहले घड़ी UTC में और प्रमाणपत्र की अपनी तिथियाँ छापें। दो निरपेक्ष पलों की तुलना समय क्षेत्र का सवाल जाँच से पूरी तरह हटा देती है। यदि प्रमाणपत्र की विंडो में वर्तमान पल है, तो प्रमाणपत्र आपकी विफलता नहीं है।

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

यदि स्थानीय घड़ी गलत है, तो देखें कि वह सिंक्रनाइज़ है या नहीं और किससे। जिस मशीन में सिंक्रनाइज़ेशन बंद है, या जिसे समय स्रोत तक पहुँच नहीं है, वह तब तक खिसकती है जब तक कुछ विफल न हो जाए। स्थिति आउटपुट स्रोत और अंतिम सफल समायोजन का नाम बताता है, जो केवल वर्तमान विचलन से अधिक उपयोगी है। स्रोत सेट किए बिना बड़ा विचलन काम करते स्रोत के सापेक्ष छोटे विचलन से अलग समस्या है।

timedatectl timesync-status
chronyc tracking

यदि प्रमाणपत्र हर क्लाइंट के लिए सचमुच समाप्त हो गया है तो रुकें। तब घड़ी ठीक है और प्रमाणपत्र को समायोजन नहीं, नवीनीकरण चाहिए।

लॉगिन कोड संबंधित पर अलग कारण से विफल होते हैं

समय-आधारित एक-बार पासवर्ड अपना मूल्य वर्तमान समय चरण से लेते हैं, आमतौर पर तीस सेकंड। जिस डिवाइस की घड़ी एक या दो चरण से अधिक खिसकी है, वह ऐसे कोड बनाती है जिन्हें सर्वर स्वीकार नहीं करेगा, चाहे उपयोगकर्ता ने सही अंक ही टाइप किए हों। त्रुटि गलत पासवर्ड जैसी दिखती है, जो लोगों को ऐसे रीसेट चक्र में डाल देती है जो घड़ी ठीक नहीं कर सकता।

पता लगाएँ कि किस घटक ने प्रयास अस्वीकार किया, क्योंकि VPN क्लाइंट, गेटवे और पहचान प्रदाता अलग-अलग चरण बताते हैं। यदि कोड अस्वीकृत हो पर पासवर्ड स्वीकृत हो, तो खाता संभवतः ठीक है और घड़ी संदिग्ध है। यदि दोनों अस्वीकृत हों, तो खाता लॉक हो सकता है और घड़ी झूठा सुराग है। जो अनुरोध आपने शुरू नहीं किए उन्हें स्वीकृत करने के बजाय प्रदाता के पुनर्प्राप्ति मार्गदर्शन का पालन करें।

कोड काम कराने के लिए घड़ी पीछे न करें। यह कारण छिपाता है और अगली समय-आधारित जाँच तोड़ देता है।

स्रोत ठीक करें, दिख रहा घंटा नहीं

सिंक्रनाइज़ेशन एक नेटवर्क सेवा है, और टनल बदल सकता है कि समय स्रोत पहुँच योग्य है या नहीं। कॉर्पोरेट स्रोत को टनल चाहिए हो सकता है, जबकि सार्वजनिक स्रोत नीति से अवरुद्ध हो सकता है। ब्राउज़िंग काम कर सकती है जबकि समय सेवा का अपना मार्ग विफल हो, इसीलिए यह निर्भरता चूकना आसान है। NTP समायोजन के पीछे का प्रोटोकॉल है, और उसे किसी भी अन्य सेवा की तरह अपना मार्ग चाहिए।

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

बूट क्रम की समस्या भी है: बहुत गलत घड़ी प्रमाणित टनल को रोक सकती है, और एकमात्र उपयोगी समय स्रोत उसी टनल के पीछे हो सकता है। प्रबंधित फ्लीट को उस स्थिति के लिए दस्तावेज़ी प्रक्रिया चाहिए, और प्रमाणपत्र सत्यापन को दरकिनार करना ऐसी प्रक्रिया नहीं है। व्यक्तिगत डिवाइस पर ऑपरेटिंग सिस्टम के अपने समय नियंत्रण उपयोग करें और पता लगाएँ कि शटडाउन या पुनर्स्थापन के बाद घड़ी क्यों खो जाती है। जो मशीन हर बूट पर खिसकती है उसमें हार्डवेयर या कॉन्फ़िगरेशन की समस्या है, VPN की नहीं।

मरम्मत के बाद मूल कनेक्शन फिर आज़माएँ और नई त्रुटि अलग से पढ़ें। खराब सर्वर पहचान, सचमुच समाप्त प्रमाणपत्र और अस्वीकृत खाता तीन अलग विफलताएँ हैं, और उन्हें मिलाना ही साधारण घड़ी सुधार को हफ़्ते भर के प्रोफ़ाइल बदलाव में बदल देता है।