Pogrešan sat uređaja može zaustaviti VPN: prvo provjerite vrijeme

VPN prestaje se povezivati, zapis spominje certifikat, a prvi je poriv zamijeniti profil. Sat uređaja koji kasni ili žuri nekoliko minuta ili sati stvara upravo tu pogrešku, jer se valjanost certifikata ocjenjuje prema lokalnom trenutku. Oznaka vremenske zone na zaslonu nije problem; problem je samo vrijeme. Provjerite sat prije nego što dotaknete bilo koji materijal certifikata.

Pogreška izgleda kao problem s certifikatom, a ne sa satom

TLS rukovanje ne uspijeva kada certifikat druge strane padne izvan svojeg roka valjanosti u odnosu na sat provjeravatelja. Ta se provjera izvodi na klijentu, pa pogrešan klijentski sat odbija posve ispravan certifikat. Tekst pogreške imenuje certifikat, i zato ga ljudi zamjene i ponovno vide isti neuspjeh. Sat je jeftinija hipoteza i treba ga prvo ispitati.

Sat koji žuri u odnosu na stvarno vrijeme odbija važeći certifikat kao istekao; sat koji kasni odbija noviji kao još nije valjan. Obje poruke upućuju na datume i obje nastaju bez ikakva kontakta s izdavateljem certifikata. To je znak: stvarni istek pogađa svakog klijenta, dok problem sa satom pogađa jedinu mašinu s pogrešnim vremenom.

Pročitajte trenutak, pa certifikat

Ispišite sat u UTC-u i vlastite datume certifikata prije nego što bilo što promijenite. Usporedba dvaju apsolutnih trenutaka posve uklanja pitanje vremenske zone iz istrage. Ako okvir certifikata sadrži trenutni trenutak, certifikat nije vaš neuspjeh.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Ako lokalni sat nije točan, provjerite je li sinkroniziran i s čim. Mašina s isključenom sinkronizacijom ili s izvorom vremena do kojeg ne može doći odstupa dok nešto ne padne. Izlaz statusa imenuje izvor i posljednje uspješno podešavanje, što je korisnije od samog trenutnog odstupanja. Veliko odstupanje bez postavljenog izvora drugi je problem od malog odstupanja prema izvoru koji radi.

timedatectl timesync-status
chronyc tracking

Zaustavite se ako je certifikat doista istekao za svakog klijenta. Tada je sat u redu i certifikat treba obnovu, a ne podešavanje.

Kodovi za prijavu ne uspijevaju zbog povezanog ali drugog razloga

Jednokratne zaporke zasnovane na vremenu crpe vrijednost iz trenutnog vremenskog koraka, obično trideset sekundi. Uređaj čiji sat odstupa više od koraka ili dva stvara kodove koje poslužitelj neće prihvatiti, iako je korisnik upisao točne znamenke. Pogreška izgleda kao pogrešna zaporka, što ljude šalje u ciklus ponovnog postavljanja koji ne može popraviti sat.

Utvrdite koja je komponenta odbila pokušaj, jer VPN klijent, pristupnik i davatelj identiteta izvještavaju o različitim fazama. Ako je kod odbijen a zaporka prihvaćena, račun je vjerojatno u redu i sumnjivac je sat. Ako je oboje odbijeno, račun je možda zaključan i sat je lažni trag. Slijedite upute davatelja za oporavak umjesto da odobravate zahtjeve koje niste pokrenuli.

Ne vraćajte sat unatrag da bi kod proradio. To skriva uzrok i kvari sljedeću provjeru zasnovanu na vremenu.

Popravite izvor, a ne prikazani sat

Sinkronizacija je mrežna usluga, a tunel može promijeniti je li izvor vremena dostupan. Korporativni izvor može zahtijevati tunel, dok javni izvor može biti blokiran pravilima. Pregledavanje može raditi dok vlastita putanja vremenske usluge ne uspijeva, zbog čega je tu ovisnost lako propustiti. NTP je protokol iza podešavanja i treba mu vlastita putanja kao i svakoj drugoj usluzi.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

Postoji i problem redoslijeda podizanja: jako pogrešan sat može spriječiti autentificirani tunel, a jedini upotrebljiv izvor vremena može stajati iza tog tunela. Upravljana flota treba dokumentiran postupak za to stanje, a zaobilaženje provjere certifikata to nije. Na osobnom uređaju koristite vlastite kontrole vremena operacijskog sustava i otkrijte zašto se sat gubi nakon isključivanja ili vraćanja. Mašina koja odstupa pri svakom podizanju ima hardverski ili konfiguracijski problem, ne VPN problem.

Nakon popravka ponovno pokušajte izvornu vezu i pročitajte novu pogrešku odvojeno. Loš identitet poslužitelja, certifikat koji je doista istekao i odbijen račun tri su različita neuspjeha, a njihovo miješanje je način na koji jednostavna korekcija sata postane tjedan zamjena profila.