A tanúsítvány-visszavonás meghiúsul: melyik gazdagép mit nem ér el

A tanúsítványok érvényességi idejükön belül lehetnek, miközben a VPN még hitelesítési hibát jelent, és valaki arra a következtetésre jut, hogy a tanúsítvány visszavont. Ez három különböző tény. A visszavonási adatokat az ellenőrzést végző eszköznek kell letöltenie a tanúsítványban megnevezett közzétételi pontról. Ha az az eszköz nem éri el a pontot, az ellenőrzés a tanúsítvány állapotától független okokból hiúsul meg.

A letöltési útvonal az ellenőrzőé

Kezdje az ellenőrző azonosításával. Amikor egy laptop ellenőrzi az átjáró tanúsítványát, a laptop végzi a letöltést; amikor az átjáró ellenőriz egy ügyféltanúsítványt, az átjáró teszi ezt. Egy háttér-hitelesítési szolgáltatás saját hálózati helyzettel rendelkező harmadik ellenőrzőt adhat hozzá. Mindegyiknek más az útvonala az internethez és más a proxybeállítása. A rendszergazda munkaállomásán gyűjtött bizonyíték semmit sem mond egy DMZ-n belüli kiszolgálóról.

Jegyezze fel a tanúsítványt, az ellenőrzőt, a kísérlet idejét és a pontos állapotkódot, mielőtt bármit módosítana.

Olvassa ki a közzétételi pontot a tanúsítványból

A tanúsítvány megnevezi, hol található az állapota. Olvassa el ezeket a mezőket ahelyett, hogy CA-címet találgatna.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Az első kiterjesztés a CRL-terjesztési pontokat sorolja fel, a második a hatósági információhoz való hozzáférési módszereket, amelyek lefedhetik az OCSP-állapotot és a kibocsátó tanúsítványának letöltését. Ezek különböző mechanizmusok, és az OCSP-válaszadó nem CRL-fájl. A közzétételi gazdagép gyakran egyszerű webkiszolgáló, nem a CA gép, mert egy offline kibocsátó aláírhat olyan CRL-t, amelyet egy másik kiszolgáló terjeszt. Ezért a CA eléréseként leírt tűzfalszabály túl homályos ahhoz, hogy bevezessék vagy felülvizsgálják.

Tesztelje a letöltést az ellenőrzést végző eszközről

Futtassa a letöltési tesztet abban a környezetben, amely ténylegesen elvégzi az ellenőrzést, jóváhagyott tanúsítványanyaggal és privát kulcsok nélkül.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

A certutil futtatása ellenőrzi a láncot, és jelenti, mely URL-letöltések sikerültek vagy hiúsultak meg, míg a curl hívás egyetlen közzétételi címet tesztel ugyanarról a gazdagépről, és csak állapotkódot ad vissza. Egy elérhető címről meghiúsuló letöltés tartalmi vagy aláírási problémára utal; a kapcsolódási hiba útvonalválasztásra, DNS-re vagy proxyra. Őrizze meg mindkét eredményt, mert egyetlen sikeres letöltés nem bizonyítja, hogy a teljes lánc használható. Cserélje ki a példa gazdagépét és útvonalát a tanúsítványban talált terjesztési pontra.

Különítse el a hiányzó adatot a visszavont állapottól

Négy kimenet hasonlónak látszik kívülről: a pont elérhetetlen, a lista elavult, a listát rossz kibocsátó írta alá, vagy a tanúsítvány valóban visszavont. Csak az utolsó állapoteredmény, és csak az igazolja a hozzáférés megszüntetését. A gyorsítótárazás tovább bonyolítja a képet, mert a korábban letöltött adatok a következő frissítésig elrejthetik a hibás közzétételi útvonalat. A visszavonás-ellenőrzés kikapcsolása, a nem kapcsolódó tanúsítványok törlése vagy az átjáró újraindítása mind a diagnózist helyettesíti tevékenységgel.

A javítás után kényszerítsen új hitelesítést, és erősítse meg, hogy a szándékolt állapotletöltés sikerül. Ahol ellenőrzött tesztidentitás létezik, erősítse meg, hogy továbbra is elutasítják, mert az ellenőrzést megszüntető elérhetőség nem javítás.