A hibás eszközóra leállíthatja a VPN-t: először ellenőrizze az időt

A VPN leáll a csatlakozással, a napló tanúsítványt említ, és az első ösztön a profil cseréje. A percekkel vagy órákkal eltérő eszközóra pontosan ezt a hibát állítja elő, mert a tanúsítvány érvényességét a helyi pillanathoz mérik. A képernyőn látható időzóna-címke nem a probléma; a mögöttes idő az. Ellenőrizze az órát, mielőtt bármilyen tanúsítvány-anyaghoz nyúlna.

A hiba tanúsítvány-problémának látszik, nem óra-problémának

A TLS-kézfogás akkor hiúsul meg, ha a másik fél tanúsítványa az ellenőrző órájához képest kiesik az érvényességi ablakából. Ezt az ellenőrzést az ügyfél futtatja, ezért a hibás ügyfélóra teljesen jó tanúsítványt utasít el. A hibaüzenet megnevezi a tanúsítványt, ezért cserélik ki az emberek, és látják ugyanazt a hibát újra. Az óra az olcsóbb hipotézis, és először azt kell megvizsgálni.

A valós idő előtt járó óra lejártként utasít el egy jelenlegi tanúsítványt; a lemaradó óra még nem érvényesként utasít el egy újabbat. Mindkét üzenet dátumokra mutat, és mindkettő a tanúsítványkibocsátóval való bármilyen kapcsolat nélkül jön létre. Ez az árulkodó jel: a valódi lejárat minden ügyfelet érint, míg az óraprobléma csak azt az egy gépet, amelynek rossz az ideje.

Olvassa le a pillanatot, aztán a tanúsítványt

Írja ki az órát UTC-ben és a tanúsítvány saját dátumait, mielőtt bármit módosít. Két abszolút pillanat összevetése teljesen kiveszi az időzóna kérdését a vizsgálatból. Ha a tanúsítvány ablaka tartalmazza a jelenlegi pillanatot, a tanúsítvány nem a maga hibája.

date -u
timedatectl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates

Ha a helyi óra rossz, ellenőrizze, hogy szinkronizált-e, és mihez. Az a gép, amelyben a szinkronizálás ki van kapcsolva, vagy amelynek időforrását nem éri el, addig sodródik, amíg valami meg nem hibásodik. Az állapotkimenet megnevezi a forrást és az utolsó sikeres igazítást, ami hasznosabb a jelenlegi eltérésnél önmagában. A nagy eltérés beállított forrás nélkül más probléma, mint a kis eltérés egy működő forráshoz képest.

timedatectl timesync-status
chronyc tracking

Álljon meg, ha a tanúsítvány valóban lejárt minden ügyfélnél. Akkor az óra rendben van, és a tanúsítvány megújításra szorul, nem igazításra.

A bejelentkezési kódok rokoni, de eltérő okból hiúsulnak meg

Az időalapú egyszeri jelszavak értéküket az aktuális időlépésből merítik, általában harminc másodpercből. Az a készülék, amelynek órája több mint egy-két lépéssel eltér, olyan kódokat állít elő, amelyeket a kiszolgáló nem fogad el, akkor sem, ha a felhasználó a helyes számjegyeket írta be. A hiba téves jelszónak látszik, ami olyan visszaállítási körbe viszi az embereket, amely nem tudja megjavítani az órát.

Derítse ki, melyik összetevő utasította el a kísérletet, mert a VPN-ügyfél, az átjáró és az identitásszolgáltató különböző szakaszokról számol be. Ha a kódot elutasítják, de a jelszót elfogadják, a fiók valószínűleg rendben van, és az óra a gyanús. Ha mindkettőt elutasítják, a fiók zárolt lehet, és az óra hamis nyom. Kövesse a szolgáltató helyreállítási útmutatását, ahelyett hogy olyan kéréseket hagyna jóvá, amelyeket nem ő indított.

Ne állítsa vissza az órát, hogy működjön egy kód. Ez elrejti az okot, és elrontja a következő időalapú ellenőrzést.

A forrást javítsa, ne a kijelzett órát

A szinkronizálás hálózati szolgáltatás, és az alagút megváltoztathatja, hogy elérhető-e az időforrás. Egy vállalati forrás megkövetelheti az alagutat, míg egy nyilvános forrást szabályzat blokkolhat. A böngészés működhet, miközben az időszolgáltatás saját útvonala meghiúsul, ezért ezt a függőséget könnyű kihagyni. NTP az igazítás mögötti protokoll, és neki is saját útvonalra van szüksége, mint bármely más szolgáltatásnak.

sudo systemctl status systemd-timesyncd
sudo chronyc sources -v
ping -c1 203.0.113.20

A rendszerindítás sorrendjével is van probléma: egy nagyon hibás óra megakadályozhatja a hitelesített alagutat, és az egyetlen használható időforrás azon alagút mögött lehet. A kezelt flottának dokumentált eljárás kell ehhez az állapothoz, és a tanúsítvány-ellenőrzés megkerülése nem az. Személyes eszközön használja az operációs rendszer saját idővezérlőit, és derítse ki, miért vész el az óra leállítás vagy visszaállítás után. Az a gép, amely minden indításkor sodródik, hardver- vagy konfigurációs problémával küzd, nem VPN-problémával.

A javítás után próbálja újra az eredeti kapcsolatot, és olvassa el külön az új hibát. A rossz kiszolgáló-identitás, a valóban lejárt tanúsítvány és az elutasított fiók három különböző hiba, és ezek keverése az, ahogy egy egyszerű órakorrekcióból egy hét profillcserélés lesz.