Opoziv certifikata ne uspijeva: koji host do čega ne dolazi

Certifikati mogu biti unutar svog razdoblja valjanosti dok VPN još prijavljuje pogrešku autentifikacije, i netko zaključi da je certifikat opozvan. To su tri različite činjenice. Podatke o opozivu mora dohvatiti uređaj koji obavlja validaciju, s točke objave navedene unutar samog certifikata. Kada taj uređaj ne može doći do točke, provjera ne uspijeva iz razloga koji nisu povezani sa statusom certifikata.

Put dohvata pripada validatoru

Počnite identifikacijom validatora. Kada prijenosno računalo provjerava certifikat pristupnika, dohvat obavlja prijenosno računalo; kada pristupnik provjerava klijentski certifikat, to čini pristupnik. Usluga autentifikacije u pozadini može dodati treći validator s vlastitim mrežnim položajem. Svaki ima drukčiju rutu do interneta i drukčiju konfiguraciju proxyja. Dokazi prikupljeni na radnoj stanici administratora ne govore ništa o poslužitelju unutar DMZ-a.

Zapišite certifikat, validator, vrijeme pokušaja i točan statusni kod prije nego što bilo što promijenite.

Pročitajte točku objave iz certifikata

Certifikat navodi gdje se nalazi njegov status. Čitajte ta polja umjesto da pogađate adresu CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Prvo proširenje navodi točke distribucije CRL, a drugo navodi metode pristupa informacijama o tijelu, koje mogu pokrivati OCSP status i dohvat certifikata izdavatelja. To su različiti mehanizmi, a OCSP respondere nije CRL datoteka. Host objave često je običan web poslužitelj, a ne stroj CA, jer izdavatelj izvan mreže može potpisati CRL koji distribuira drugi poslužitelj. Zato je pravilo vatrozida opisano kao pristup CA previše neodređeno za implementaciju ili pregled.

Testirajte dohvat s uređaja koji validira

Izvedite test dohvata u okruženju koje doista obavlja validaciju, s odobrenim materijalom certifikata i bez privatnih ključeva.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Pokretanje certutil provjerava lanac i izvješćuje koji su URL dohvati uspjeli ili nisu, dok curl poziv testira jednu adresu objave s istog hosta i vraća samo statusni kod. Neuspjeli dohvat s dostupne adrese upućuje na probleme sa sadržajem ili potpisom; pogreška veze upućuje na usmjeravanje, DNS ili proxy. Sačuvajte oba rezultata, jer jedan uspješan dohvat ne dokazuje da je cijeli lanac upotrebljiv. Promijenite primjer hosta i putanje u točku distribucije pronađenu u certifikatu.

Odvojite nedostajuće podatke od opozvanog statusa

Četiri ishoda izvana izgledaju slično: točka je nedostupna, popis je zastario, popis je potpisao pogrešan izdavatelj ili je certifikat doista opozvan. Samo je posljednji statusni rezultat i samo on opravdava uklanjanje pristupa. Predmemoriranje dodatno komplicira sliku jer ranije dohvaćeni podaci mogu sakriti neispravnu putanju objave do sljedećeg osvježavanja. Isključivanje provjere opoziva, brisanje nepovezanih certifikata ili ponovno pokretanje pristupnika zamjenjuju dijagnozu aktivnošću.

Nakon popravka prisilite novu autentifikaciju i potvrdite da namjeravani dohvat statusa uspijeva. Gdje postoji kontrolirani testni identitet, potvrdite da se i dalje odbija, jer dostupnost koja uklanja provjeru nije popravak.