A VPN-tanúsítvány még nem érvényes: három ok, egy ellenőrzési sorrend
A még nem érvényes azt jelenti, hogy az eszköz órája le van maradva, az ablak valóban később kezdődik, vagy egy köztes tanúsítvány még nem nyílt meg. Ellenőrizze őket ebben a sorrendben.
Megnyitja a klienst, kiválasztja a hónapok óta használt profilt, és az "certificate is not yet valid" üzenettel leáll. A bejelentkezésében semmi sem változott, és a bizalmi tároló valószínűleg rendben van: a kézfogásban bemutatott tanúsítvány érvényességi ablaka később kezdődik, mint az az pillanat, amelyet az ellenőrző használ. Három különböző helyzet állítja elő pontosan ezt az üzenetet, és ezek különböző intézkedéseket igényelnek. Az alábbi sorrend megmondja, melyik van Önnél, mielőtt órához vagy tanúsítványfájlhoz nyúlna.
Melyik a három ok közül
Az első ok helyi: az ellenőrzést végző eszköz órája korábbi, mint a tanúsítvány kezdő dátuma. Ezt látja halott CMOS-elemű hardveren, régi pillanatképből visszaállított virtuális gépeken, olyan eszközökön, amelyek elég sokáig voltak kikapcsolva ahhoz, hogy elveszítsék az időt, és olyan hálózatokon, ahol a kimenő NTP blokkolva van, és senki sem vette észre. A tanúsítvány teljesen érvényes lehet, és mégis így hiúsul meg.
A második ok a kibocsátóé, mert a tanúsítvány valóban a jövőben kezdődik: korán kibocsátva, kifejezett kezdési idővel létrehozva, vagy egy még le nem futott aktiválási lépés részeként aláírva. A harmadik ok pazsolja a legtöbb időt, mert a levél aktuális, miközben a bemutatott lánc egy másik tanúsítványa nem az, így a hiba olyan anyagot nevez meg, amelyet soha nem telepített.
Egy kérdés választja el őket. Az eszközt vagy a szolgáltatást követi a hiba? Két gép ugyanazon a hálózaton, amelyek eltérően viselkednek, az órákra utal. Ha minden kliens ugyanúgy hiúsul meg, az a tanúsítvány ablakára és az mögötte lévő láncra utal.
Az ablakot a ténylegesen bemutatott tanúsítványból olvassa ki
Ne vizsgáljon egy korábbi telepítésből megmaradt PEM-fájlt; kérje meg a szolgáltatást a most küldött láncra. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts a lánc minden tanúsítványát kiírja. Mentse el a számára fontos blokkot, és futtassa a openssl x509 -noout -subject -issuer -dates parancsot; az utóbbi kiírja a notBefore és notAfter értékeket, és ez a két érték dönt. Windows alatt a kapcsolat tanúsítvány-párbeszédablaka és egy exportált fájlon a certutil -dump ugyanazokat a mezőket mutatja.
Az ablak mindkét végét olvassa el, ne csak a kezdetét. Egy két óra múlva nyíló és egy két óra múlva záródó tanúsítvány különböző üzenetekkel hiúsul meg, és különböző csapatokat érint. Jegyezze fel, melyik tanúsítványt nevezi meg a hiba — levél, köztes vagy gyökér —, mert ez dönti el, hogy a kliens oldalán egyáltalán javítható-e valami.
Az ablakot anélkül is tesztelheti, hogy megvárná. Az ellenőrzés kifejezett időt fogad el: openssl verify -attime 1793600000 -CAfile ca.pem -untrusted intermediate.pem leaf.pem az adott időbélyeg szerint értékeli a láncot. Futtassa a jelenlegi idővel a hiba reprodukálásához, majd a tanúsítvány kezdési idejével annak megerősítéséhez, hogy ugyanaz a lánc átmegy, amint az ablak megnyílik. RFC 5280 meghatározza az érvényességi mezőt és azt a szabályt, hogy a tanúsítvány azon kívül nem használható, és éppen ezt a szabályt érvényesítette az imént a kliense.
Az Ön órája vagy az övék
Hasonlítsa össze az eszköz óráját a tanúsítvány UTC szerinti kezdetével, egy megbízható forrásból. date -u megadja a pillanatot, és a timedatectl status egy systemd-gazdagépen azt is jelenti, hogy az óra szinkronizált-e. Windows alatt a w32tm /query /status az aktuális forrást és az utolsó sikeres szinkronizálást mutatja. A tálcán látható időzóna megjelenítési választás, nem hibás óra; az ellenőrző UTC-pillanatokat hasonlít össze.
| What you see | Most likely reading | Next step |
|---|---|---|
| Clock behind, one device affected | Local time fault | Resync time, keep validation on, retest |
| Clock correct, window opens soon | Certificate staged early | Wait for the window or follow the cutover plan |
| Clock correct, intermediate not yet valid | Chain material mismatch | Operator replaces the intermediate |
| Some peers pass, others do not | Inconsistent nodes | Record each peer's chain before changing anything |
Ha az óra le van maradva, szinkronizáljon újra és teszteljen újra, mielőtt bármilyen tanúsítvány-anyagot módosítana. Egy percre vagy órára pontatlan eszköz minden nemrég kibocsátott tanúsítványt elutasít, amellyel találkozik, nem csak egy szolgáltatást, ezért az egy szolgáltatásra vonatkozó magyarázat általában a rossz. Ha az óra helyes és szinkronizált, hagyja abba az eszköz vizsgálatát: az ablak a kibocsátóé, és semmilyen helyi beállítást nem kell módosítani ahhoz, hogy átmenjen.
Ez a táblázat a teljes döntés. Az óra áthelyezése arra, amit a tanúsítvány elvár, nem javítás, és az időellenőrzések kikapcsolása sem az, mert mindkettő elrejti a hibát előidéző állapotot.
Miért hiúsul meg a lánc, miközben a levél rendben lévőnek tűnik
A megújított levelek és a helyettesítő köztes tanúsítványok általában együtt érkeznek, és nem mindig ugyanabban a pillanatban. Egy szolgáltatás küldhet olyan új levelet, amelyet olyan köztes írt alá, amelynek saját ablaka később kezdődik, vagy tovább szolgálhat ki egy régebbi köztes tanúsítványt egy friss levél alatt. Így vagy úgy a lánc meghiúsul, miközben a levél saját dátumai ésszerűnek tűnnek.
A terheléselosztott végpontok ezt töröttből következetlenné teszik. Ha egy újabb próbálkozás sikerül, vagy az egyik hálózat működik, a másik nem, jegyezze fel, melyik partner válaszolt és melyik láncot küldte, mielőtt a beállításokat módosítaná. openssl s_client kiírja a csatlakozott címet, így néhány próbálkozás megmutatja, hogy minden csomópont ugyanazt a láncot szolgálja-e ki.
Javítási utak, amelyek érintetlenül hagyják az ellenőrzést
Az óraproblémát az eszközön javítják, az ellenőrzés bekapcsolva marad. A tanúsítványproblémát az üzemeltető javítja olyan anyaggal, amelyet már a mostani időt tartalmazó ablakra bocsátottak ki. Semmilyen kliensbeállítás nem tesz érvényessé egy még nem érvényes tanúsítványt; az időellenőrzéseket átugró kapcsolók arra vannak, hogy megerősítsenek egy diagnózist, nem arra, hogy éles környezetbe kerüljenek.
Amikor a tanúsítványt tervezett aktiválásra készítik elő, kövesse az átállási tervet. Telepítse, amikor az ablak megnyílik, vagy használja a szolgáltató által dokumentált átfedési eljárást, ahelyett hogy korán telepítené, és megtanítaná a felhasználókat a figyelmeztetések átkattintására. A figyelmeztetések, amelyeket az emberek megtanulnak figyelmen kívül hagyni, többe kerülnek egy rövid késésnél.
Végül úgy teszteljen újra, ahogy a hiba történt: új munkamenet, ugyanaz a kliens, az az erőforrás, amelyre valóban szüksége van. A TLS-könyvtárak a kapcsolat teljes élettartamára gyorsítótárazhatnak egy ellenőrzött láncot, és egy folytatott munkamenet nem feltétlenül ellenőrzi újra, ezért egy régi munkamenet a javítás után is meghiúsulhat, vagy egy regresszió után is működhet. Egy nézegetőben megnyíló fájl csak azt bizonyítja, hogy a fájl olvasható; egy befejezett kézfogás bizonyítja, hogy a lánc érvényesül.
Mielőtt lezárja a jegyet, erősítsen meg négy dolgot: a meghiúsuló eszköz UTC-idejét és szinkronizálási állapotát, a bemutatott lánc minden tanúsítványának notBefore és notAfter értékét, ugyanazt a láncot egy második klienstől, és a nevet, amelyet a hiba a tanúsítványnak ad. Ha az óra helyes, és az ablak még nem nyílt meg, a többi az üzemeltető munkája, és az Ön oldalán a helyes lépés az ablak megvárása, nem az ellenőrzés gyengítése.