Neusklađenost naziva certifikata ili istek: kako ih razlikovati

Dva kvara VPN-a izgledaju jednako iz korisničke stolice, a traže suprotne popravke. Neusklađenost naziva kaže da je certifikat valjan, ali izdan za nešto drugo. Pogreška isteka kaže da certifikat nije valjan u ovom trenutku. Ni jedno nije problem lozinke, a poništavanje vjerodajnica najčešće je izgubljeni sat u oba slučaja. Pročitajte fazu koja pada prije nego što bilo što dotaknete.

Tekst pogreške je dijagnoza

Klijent vam kaže koja provjera nije prošla, čak i kad je poruka kratka. Neusklađenost navodi očekivano ime hosta i ime koje je pronašla. Pogreška isteka spominje datume valjanosti ili vrijeme. Te dvije rečenice upućuju na različite dijelove certifikata.

Čitajte ih u fazi u kojoj se pojavljuju. Pad tijekom rukovanja problem je certifikata; pad nakon podizanja tunela problem je usmjeravanja ili vjerodajnica. Zadržavanje faze ono je što sprječava da istraga odluta u nepovezane postavke.

Ako se pad razlikuje među pokušajima, imate treću mogućnost: više od jednog čvora iza istog imena.

Provjere naziva: što klijent uspoređuje

Klijent uspoređuje identitet koji je konfiguriran očekivati s nazivima u certifikatu, koji se nalaze u proširenju subjectAltName. Sirovi IP u profilu, alias koji certifikat ne navodi ili naziv koji se samo razrješava na isti poslužitelj — svi padaju na ovoj provjeri. Doći do pravog stroja nije isto što i predstaviti pravi identitet.

Pregledajte certifikat koji poslužitelj stvarno predstavlja, a ne datoteku iz ranijeg pokušaja. Naredba u nastavku traži naziv koji ste konfigurirali, pa odgovor uključuje certifikat koji bi pravi klijent vidio.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Certifikat pouzdanog izdavatelja ipak može biti za drugu uslugu. Držite provjere naziva na klijentu uključenima, jer povjerenje u CA ne ovlašćuje svaki naziv koji je taj CA ikad potpisao. Isključivanje provjere pretvara pogrešku konfiguracije u izloženost.

Istek: čiji se sat čita

Valjanost je par vremenskih oznaka, a provjeravatelj ih uspoređuje s vlastitim satom. Uređaj s pogrešnim satom prijavljuje valjan certifikat kao istekao ili kao još nevaljan, a popravak je sat, ne certifikat. Razlika u prikazu vremenske zone nije isto što i pogrešno osnovno vrijeme.

Usporedite datume certifikata s UTC-om na klijentu prije nego što išta zaključite:

openssl x509 -in cert.pem -noout -dates
date -u

Ako su datumi doista prošli, obnovite preko izdavatelja. Ako zamjena postoji, ali još nije postala valjana, slijedite podržani prijelaz umjesto da pomičete sat da joj se prilagodi. Vraćanje datuma uređaja unatrag radi zadovoljavanja certifikata odluka je s posljedicama daleko izvan tunela.

Zašto popravak jednoga otkriva drugo

Validacija izvodi niz provjera, a prvi pad zaustavlja izvještaj. Popravite naziv i klijent vam tada može reći da lanac nije potpun ili da je certifikat istekao. To ne znači da je prva provjera bila nepotrebna. Znači da je lanac imao više od jednog problema, pa očekujte drugu pogrešku umjesto da je čitate kao dokaz da je prvi popravak bio pogrešan.

Više čvorova to pogoršava. Usluga s balansiranjem opterećenja može predstavljati različite certifikate iz različitih članova, pa test koji dvaput prođe i jednom padne govori vam o floti, a ne o vašem klijentu. Zadržite adresu druge strane i vrijeme pokušaja u dijagnozi.

Taj detalj pretvara nestabilan tiket u reproducibilan.

Dokažite to novom vezom

Nakon popravka otvorite novu vezu umjesto da nastavite staru i potvrdite da faza koja je prije padala sada prolazi. Zatim potvrdite da tunel doista prenosi promet, jer uspješno rukovanje nije radna ruta.

Zadržite točnu fazu pogreške i pojedinosti certifikata uz tiket.

Taj zapis ono je što sljedeću osobu sprječava da poništi lozinke računa zbog problema s certifikatom. Identitet i valjanost odvojena su pitanja, a RFC 5280 referenca je za to kako se drugo ocjenjuje.