Tanúsítvány név-eltérés vagy lejárat: hogyan különböztessük meg

Két VPN-hiba a felhasználó székéből nézve egyformának tűnik, mégis ellentétes javítást igényel. A név-eltérés azt jelenti, a tanúsítvány érvényes, de másra adták ki. A lejárati hiba azt jelenti, a tanúsítvány ebben a pillanatban nem érvényes. Egyik sem jelszóprobléma, és a hitelesítő adatok visszaállítása mindkét esetben a leggyakrabban elpazarolt óra. Olvassa el a meghiúsuló szakaszt, mielőtt bármihez hozzányúlna.

A hibaüzenet a diagnózis

A kliens megmondja, melyik ellenőrzés hiúsult meg, még akkor is, ha az üzenet szűkszavú. Az eltérés megnevezi az elvárt hosztnevet és a talált nevet. A lejárati hiba érvényességi dátumokat vagy időt említ. Ez a két mondat a tanúsítvány különböző részeire mutat.

Ott olvassa őket, ahol megjelennek. A kézfogás közbeni hiba tanúsítványprobléma; a tunel felállítása utáni hiba útválasztási vagy hitelesítőadat-probléma. A szakasz megtartása az, ami megakadályozza, hogy a vizsgálat irreleváns beállítások felé sodródjon.

Ha a hiba próbálkozásonként változik, van egy harmadik lehetőség: egynél több csomópont ugyanazon név mögött.

Névellenőrzések: mit hasonlít össze a kliens

A kliens az elvárt identitást hasonlítja össze a tanúsítvány neveivel, amelyek a subjectAltName kiterjesztésben találhatók. A profilban szereplő nyers IP, a tanúsítvány által fel nem sorolt alias, vagy egy név, amely csak ugyanarra a kiszolgálóra oldódik fel – mindegyik megbukik ezen az ellenőrzésen. A megfelelő gép elérése nem ugyanaz, mint a megfelelő identitás felmutatása.

Azt a tanúsítványt vizsgálja, amelyet a kiszolgáló ténylegesen bemutat, ne egy korábbi próbálkozás fájlját. Az alábbi parancs az Ön által beállított nevet kéri, így a válasz tartalmazza azt a tanúsítványt, amelyet egy valódi kliens látna.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

Egy megbízható kibocsátó tanúsítványa akkor is szólhat más szolgáltatásról. Tartsa bekapcsolva a kliens névellenőrzéseit, mert egy CA megbízása nem jogosít fel minden névre, amelyet az a CA valaha aláírt. Az ellenőrzés kikapcsolása konfigurációs hibát tesz ki kitettségnek.

Lejárat: kinek az óráját olvassák

Az érvényesség időbélyegpár, és az ellenőrző a saját órájához hasonlítja őket. A hibás órájú eszköz érvényes tanúsítványt jelent lejártként vagy még nem érvényesként, és a javítás az óra, nem a tanúsítvány. Az időzóna megjelenítésének eltérése nem ugyanaz, mint a mögöttes idő hibája.

Hasonlítsa össze a tanúsítvány dátumait a UTC-vel a kliensen, mielőtt bármit megállapítana:

openssl x509 -in cert.pem -noout -dates
date -u

Ha a dátumok valóban elmúltak, újítsa meg a kibocsátón keresztül. Ha létezik csere, de még nem vált érvényessé, kövesse a támogatott átállást, ahelyett hogy az óra előreállításával alkalmazkodna hozzá. Egy eszköz visszadátumozása egy tanúsítvány kedvéért a tunelen messze túlmutató következményekkel járó döntés.

Miért tárja fel az egyik javítása a másikat

Az érvényesítés ellenőrzések sorozatát futtatja, és az első hiba megállítja a jelentést. Javítsa a nevet, és a kliens ezután azt mondhatja, hogy a lánc hiányos vagy hogy a tanúsítvány lejárt. Ez nem jelenti azt, hogy az első ellenőrzés felesleges volt. Azt jelenti, hogy a láncnak egynél több problémája volt, ezért számítson a második hibára, ne pedig az első javítás helytelenségének bizonyítékaként olvassa.

A több csomópont ront a helyzeten. Egy terheléselosztott szolgáltatás különböző tagoktól különböző tanúsítványokat mutathat be, így a kétszer átmenő és egyszer megbukó teszt a flottáról szól, nem a klienséről. Tartsa meg a partner címét és a kísérlet idejét a diagnózisban.

Ez a részlet teszi a szeszélyes jegyet reprodukálhatóvá.

Bizonyítsa új kapcsolattal

A javítás után nyisson új kapcsolatot ahelyett, hogy egy régit folytatna, és erősítse meg, hogy a korábban megbukó szakasz most átmegy. Ezután erősítse meg, hogy a tunel valóban visz forgalmat, mert a sikeres kézfogás nem működő útvonal.

Tartsa meg a pontos hibaszakaszt és a tanúsítvány részleteit a jeggyel együtt.

Ez a feljegyzés akadályozza meg, hogy a következő ember fiókjelszavakat állítson vissza egy tanúsítványprobléma miatt. Az identitás és az érvényesség külön kérdés, és az RFC 5280 az a hivatkozás, hogyan értékelik a másodikat.